VMware Engine 安全性總覽

本頁面說明 VMware Engine 採用的安全防護功能，可協助保護您的資料和環境安全。如要查看您 (客戶) 和 Google 各自的責任詳細清單，請參閱 VMware Engine 共同責任模式。

專用硬體

所有客戶都會獲得專屬裸機主機，以及與其他硬體實體隔離的本機附加磁碟，這是 VMware Engine 服務的一部分。每個節點都會執行搭載 vSAN 的 ESXi 管理程序。節點是透過客戶專屬的 VMware vCenter 和 NSX 管理。不與房客共用硬體，可提供額外的隔離層和安全防護。

資料安全性

客戶仍可控管及擁有自己的資料。客戶有責任管理客戶資料。

保護內部網路中靜態和傳輸中的資料

私有雲環境中的靜態資料可使用 vSAN 軟體加密。vSAN 加密功能會依賴外部金鑰管理解決方案來儲存加密金鑰。

對於部署的任何新私有雲，VMware Engine 預設會啟用 vSAN 靜態資料加密功能，並由 Google 代管金鑰管理基礎架構，做為服務的一部分。如要進一步瞭解預設加密模型，請參閱「關於 vSAN 加密」。

如要瞭解如何選擇 Google 代管或客戶自行管理的加密金鑰，請參閱「選擇金鑰管理解決方案」。如要自行管理加密金鑰，可以使用客戶自行管理的加密金鑰 (CMEK)。 或者，您也可以從經過驗證的 KMS 提供者部署外部金鑰管理基礎架構，並在 vCenter 中將其設定為金鑰提供者。詳情請參閱外部 KMS。

對於傳輸中的資料，我們期望應用程式在內部網路區隔中加密網路通訊。vSphere 支援加密 vMotion 流量的傳輸資料。

保護必須透過公用網路傳輸的資料

如要保護透過公用網路傳輸的資料，您可以為私有雲建立 IPsec 和 SSL VPN 通道。支援常見的加密方法，包括 128 位元和 256 位元 AES。傳輸中的資料 (包括驗證、管理存取權和客戶資料) 會透過標準加密機制 (SSH、TLS 1.2 和安全 RDP) 加密。傳輸私密資訊的通訊會使用標準加密機制。

安全處置

如果服務到期或終止，您有責任移除或刪除資料。Google 將配合您刪除或退回客戶協議中規定的所有客戶資料，但適用法律要求 Google 保留部分或全部個人資料的情況除外。如有必要保留任何個人資料，Google 會封存資料，並採取合理措施，防止客戶資料遭到進一步處理。

刪除顧客資料

每當從客戶佈建的 VMware 叢集中移除 VMware Engine 節點時，系統都會清除磁碟機，移除磁碟上的所有客戶資料。系統會在執行下列動作後清除資料：

  • 刪除 VMware Engine 私有雲
  • 刪除私有雲中的叢集
  • 自動和手動從叢集中移除節點

硬體產品停產

硬體服務終止時，VMware Engine 會停用伺服器，並將其從生產網路中移除。屆時我們會根據 Google 安全防護指南，以實體方式銷毀硬碟。除了先前所述的磁碟清除作業外，我們還會進行這項銷毀作業。

資料位置

應用程式資料位於您在建立私有雲時選取的區域。服務不會自行變更資料位置，除非客戶採取特定動作或觸發事件 (例如，使用者設定將資料複製到其他區域的私有雲)。 Google Cloud 不過，如果您的用途需要，可以跨區域部署工作負載，並設定區域間的複製和資料遷移。

資料備份

VMware Engine 不會備份或封存客戶應用程式資料，VMware Engine 會定期備份 vCenter 和 NSX 設定。備份前，所有資料都會使用 VMware API 在來源管理伺服器 (例如 vCenter) 上加密。加密備份資料會傳輸並儲存在 Cloud Storage bucket 中。

網路安全

Google Cloud VMware Engine 採用多層網路安全機制。

邊緣安全

Google Cloud VMware Engine 服務會在 Google Cloud 由 Google Cloud提供的基準網路安全防護下執行。這項服務適用於 VMware Engine 應用程式，以及專屬的私有 VMware 環境。 Google Cloud 提供內建防護機制，可防範分散式阻斷服務 (DDoS) 攻擊。VMware Engine 也遵循縱深防禦策略，實作防火牆規則和 NAT 等安全控管措施，協助保護網路邊緣。

區隔

VMware Engine 具有邏輯上獨立的第 2 層網路，可限制對私有雲環境中自有內部網路的存取權。您可以使用防火牆，進一步保護私有雲網路。您可以在Google Cloud 控制台中，為所有網路流量定義 EW 和 NS 網路流量控制規則，包括私人雲端內部流量、私人雲端間流量、一般網際網路流量，以及前往內部部署環境的網路流量。

安全漏洞和修補程式管理

Google 負責定期修補代管 VMware 軟體 (ESXi、vCenter 和 NSX) 的安全性。

Identity and Access Management

您可以透過單一登入 (SSO) 服務，從 Google Cloud 驗證 Google Cloud 控制台。您可以使用 IAM 角色和權限，授予使用者存取 Google Cloud 控制台的權限。

根據預設，VMware Engine 會在私有雲的 vCenter 本機網域中為您建立使用者帳戶。您可以新增本機使用者，或設定 vCenter 使用現有的身分識別來源。為此，請在私有雲中新增現有的內部部署識別資訊來源或新的識別資訊來源。

預設使用者有足夠的權限，可執行私有雲中 vCenter 的日常 vCenter 作業，但無法取得 vCenter 的完整管理員存取權。如果暫時需要管理員存取權，您可以在完成管理員工作時，在有限時間內提升權限。

與私有雲搭配使用的部分第三方工具和產品，可能需要使用者具備 vSphere 管理員權限。建立私有雲時，VMware Engine 也會建立具備管理員權限的解決方案使用者帳戶，供您搭配第三方工具和產品使用。

法規遵循

Google Cloud 會持續努力，取得更多符合重要法規標準的認證。VMware Engine 已取得 ISO/IEC 27001、27017、27018、PCI-DSS、SOC 1、SOC 2 和 SOC 3 等法規遵循認證。此外， Google Cloud 業務合作協議 (BAA) 也涵蓋 VMware Engine。

如需稽核方面的協助，請洽詢您的帳戶代表，索取最新的 ISO 認證、SOC 報告和自我評估。

後續步驟