VMware Engine 安全性總覽

本頁面說明 VMware Engine 採用的安全防護功能，可協助保護您的資料和環境安全。如要查看客戶和 Google 各自的責任詳細清單，請參閱 VMware Engine 共同責任模式。

專用硬體

所有客戶都會獲得專屬裸機主機，以及與其他硬體實體隔離的本機附加磁碟，這是 VMware Engine 服務的一部分。每個節點都會執行搭載 vSAN 的 ESXi 管理程序。節點是透過客戶專屬的 VMware vCenter 和 NSX 管理。不與房客共用硬體，可提供額外的隔離層和安全防護。

資料安全性

客戶可控管並擁有自己的資料。客戶有責任管理客戶資料。

保護內部網路中靜態和傳輸中的資料

私有雲環境中的靜態資料可使用 vSAN 軟體加密。vSAN 加密功能會依賴外部金鑰管理解決方案來儲存加密金鑰。

對於部署的任何新私有雲，VMware Engine 預設會啟用 vSAN 靜態資料加密功能，並由 Google 管理金鑰管理基礎架構，做為服務的一部分。如要進一步瞭解預設加密模型，請參閱「關於 vSAN 加密」。

如果 KMS 必須由使用者管理，您可以選擇部署外部金鑰管理基礎架構，並在 vCenter 中將其設定為金鑰供應商。如需經過驗證的 KMS 提供者清單，請參閱支援的供應商。

對於傳輸中的資料，我們期望應用程式在內部網路區隔中加密網路通訊。vSphere 支援加密 vMotion 流量的傳輸資料。

保護必須透過公用網路傳輸的資料

如要保護透過公用網路傳輸的資料，您可以為私有雲建立 IPsec 和 SSL VPN 通道。支援常見的加密方法，包括 128 位元和 256 位元 AES。傳輸中的資料 (包括驗證、管理存取權和客戶資料) 會使用標準加密機制 (SSH、TLS 1.2 和安全 RDP) 加密。傳輸機密資訊的通訊會使用標準加密機制。

安全處置

如果服務到期或終止，您有責任移除或刪除資料。Google 將配合您刪除或退回所有客戶資料 (如客戶協議所述)，但適用法律要求 Google 保留部分或所有個人資料的情況除外。如有必要保留任何個人資料，Google 會封存資料，並採取合理措施，防止客戶資料遭到進一步處理。

刪除顧客資料

每當從客戶佈建的 VMware 叢集中移除 VMware Engine 節點時，系統都會清除硬碟，移除磁碟上的所有客戶資料。系統會在執行下列動作後清除資料：

  • 刪除 VMware Engine 私有雲
  • 刪除私有雲中的叢集
  • 自動和手動從叢集中移除節點

硬體產品停產

硬體服務終止時，VMware Engine 會停用伺服器，並將其從生產網路中移除。屆時我們會依據 Google 安全防護指南，以實體方式銷毀硬碟。除了先前所述的磁碟清除作業外，我們還會進行這項銷毀作業。

資料位置

應用程式資料位於您在建立私有雲時選取的區域。服務不會自行變更資料位置，除非客戶採取特定動作或觸發事件 (例如，使用者設定將資料複製到其他 Google Cloud 區域的私有雲)。不過，如果您的用途需要，可以跨區域部署工作負載，並設定區域間的複製和資料遷移。

資料備份

VMware Engine 不會備份或封存 VMware 虛擬機器中的客戶應用程式資料。VMware Engine 會定期備份 vCenter 和 NSX 設定。備份前，所有資料都會使用 VMware API 在來源管理伺服器 (例如 vCenter) 上加密。加密備份資料會傳輸並儲存在 Cloud Storage bucket 中。

網路安全

Google Cloud VMware Engine 採用多層網路安全機制。

邊緣安全

Google Cloud VMware Engine 服務會在 Google Cloud 由 Google Cloud提供的基準網路安全防護下執行。這項服務適用於 VMware Engine 應用程式，以及專屬的私有 VMware 環境。 Google Cloud 可提供內建防護機制，防範分散式阻斷服務 (DDoS) 攻擊。VMware Engine 也遵循縱深防禦策略，實作防火牆規則和 NAT 等安全控管措施，協助保護網路邊緣。

區隔

VMware Engine 具有邏輯上獨立的第 2 層網路，可限制對私有雲環境中內部網路的存取權。您可以使用防火牆進一步保護私有雲網路。您可以在Google Cloud 控制台中，為所有網路流量定義 EW 和 NS 網路流量控管規則，包括私人雲端內部流量、私人雲端間流量、一般網際網路流量，以及前往內部部署環境的網路流量。

安全漏洞和修補程式管理

Google 負責定期為代管的 VMware 軟體 (ESXi、vCenter 和 NSX) 安裝安全修補程式。

Identity and Access Management

您可以使用單一登入 (SSO) 從 Google Cloud 驗證 Google Cloud 控制台。 您可以使用 IAM 角色和權限，授予使用者存取 Google Cloud 控制台的權限。

根據預設，VMware Engine 會在私有雲的 vCenter 本機網域中為您建立使用者帳戶。您可以新增本機使用者，或設定 vCenter 使用現有的身分識別來源。為此，請在私有雲中新增現有的內部部署識別資訊來源或新的識別資訊來源。

預設使用者有足夠的權限，可執行私有雲中 vCenter 的必要日常作業，但無法取得 vCenter 的完整管理員存取權。如果暫時需要管理員存取權，您可以在完成管理員工作時，在有限時間內提升權限。

與私有雲搭配使用的部分第三方工具和產品，可能需要使用者具備 vSphere 管理員權限。建立私有雲時，VMware Engine 也會建立具備管理員權限的解決方案使用者帳戶，供您搭配第三方工具和產品使用。

法規遵循

Google Cloud 會持續努力，取得更多符合重要法規標準的認證。VMware Engine 已取得 ISO/IEC 27001、27017、27018、PCI-DSS、SOC 1、SOC 2 和 SOC 3 等法規遵循認證。此外， Google Cloud 業務合作協議 (BAA) 也涵蓋 VMware Engine。

如需稽核方面的協助，請與帳戶代表聯絡，索取最新的 ISO 認證、SOC 報告和自我評估。

後續步驟