Panoramica della sicurezza di VMware Engine

Questa pagina descrive le funzionalità di sicurezza utilizzate da VMware Engine per proteggere i tuoi dati e il tuo ambiente. Per un elenco dettagliato delle responsabilità del cliente e di Google, consulta la pagina Modello di responsabilità condivisa di VMware Engine.

Hardware dedicato

Nell'ambito del servizio VMware Engine, tutti i clienti ricevono host bare metal dedicati con dischi locali collegati fisicamente isolati da altro hardware. Su ogni nodo viene eseguito un hypervisor ESXi con vSAN. I nodi vengono gestiti tramite VMware vCenter e NSX dedicati al cliente. La mancata condivisione dell'hardware tra i tenant fornisce un ulteriore livello di isolamento e protezione della sicurezza.

Sicurezza dei dati

I clienti mantengono il controllo e la proprietà dei loro dati. La gestione dei dati dei clienti è responsabilità del cliente.

Protezione dei dati at-rest e in transito all'interno delle reti interne

I dati at-rest nell'ambiente cloud privato possono essere criptati utilizzando la crittografia basata su software vSAN. La crittografia vSAN si basa su soluzioni di gestione delle chiavi esterne per archiviare le chiavi di crittografia.

VMware Engine attiva la crittografia dei dati inattivi di vSAN per impostazione predefinita per tutti i nuovi cloud privati di cui viene eseguito il deployment, con l'infrastruttura di gestione delle chiavi gestita da Google nell'ambito del servizio. Per informazioni dettagliate sul modello di crittografia predefinito, vedi Informazioni sulla crittografia vSAN.

Se KMS deve essere gestito dagli utenti, puoi facoltativamente implementare l'infrastruttura di gestione delle chiavi esterne e configurarla come fornitore di chiavi in vCenter. Per un elenco dei fornitori di KMS convalidati, vedi Fornitori supportati.

Per i dati in transito, prevediamo che le applicazioni criptino la comunicazione di rete all'interno dei segmenti di rete interni. vSphere supporta la crittografia dei dati via cavo per il traffico vMotion.

Protezione dei dati per i dati che devono passare attraverso reti pubbliche

Per proteggere i dati che transitano attraverso le reti pubbliche, puoi creare tunnel VPN IPsec e SSL per i tuoi cloud privati. Sono supportati metodi di crittografia comuni, inclusi AES a 128 byte e 256 byte. I dati in transito (inclusi autenticazione, accesso amministrativo e dati dei clienti) sono criptati con meccanismi di crittografia standard (SSH, TLS 1.2 e Secure RDP). La comunicazione che trasporta informazioni sensibili utilizza i meccanismi di crittografia standard.

Smaltimento sicuro

Se il servizio scade o viene chiuso, sei responsabile della rimozione o dell'eliminazione dei tuoi dati. Google collaborerà con te per eliminare o restituire tutti i dati del cliente come previsto nel contratto con il cliente, tranne nella misura in cui Google è tenuta dalla legge vigente a conservare alcuni o tutti i dati personali. Se necessario conservare dati personali, Google li archivierà e implementerà misure ragionevoli per impedire l'ulteriore trattamento dei dati del cliente.

Cancellazione dei dati dei clienti

Ogni volta che un nodo VMware Engine viene rimosso da un cluster VMware di cui è stato eseguito il provisioning da parte del cliente, le unità vengono cancellate per rimuovere tutti i dati del cliente presenti sul disco. Questa cancellazione viene eseguita dopo le seguenti azioni:

  • eliminazione di un cloud privato VMware Engine
  • eliminazione di un cluster all'interno di un cloud privato
  • rimozione automatica e manuale di un nodo da un cluster

Fine del ciclo di vita dell'hardware

Al fine del ciclo di vita dell'hardware, VMware Engine ritira i server e li rimuove dalla rete di produzione. A quel punto, le unità vengono distrutte fisicamente in conformità alle linee guida per la sicurezza di Google. Questa distruzione si aggiunge alla cancellazione del disco descritta in precedenza.

Località dei dati

I dati dell'applicazione si trovano nella regione selezionata durante la creazione del cloud privato. Il servizio non modifica autonomamente la posizione dei dati senza un'azione o un trigger specifico del cliente (ad esempio, la replica configurata dall'utente in un cloud privato in una regione Google Cloud diversa). Tuttavia, se il tuo caso d'uso lo richiede, puoi eseguire il deployment dei tuoi workload in più regioni e configurare la replica e la migrazione dei dati tra le regioni.

Backup dei dati

VMware Engine non esegue il backup o l'archiviazione dei dati delle applicazioni dei clienti che si trovano all'interno delle macchine virtuali VMware. VMware Engine esegue periodicamente il backup della configurazione di vCenter e NSX. Prima del backup, tutti i dati vengono criptati sul server di gestione dell'origine (ad esempio vCenter) utilizzando le API VMware. I dati di backup criptati vengono trasferiti e archiviati nei bucket Cloud Storage.

Sicurezza della rete

Google Cloud VMware Engine si basa su livelli di sicurezza di rete.

Sicurezza perimetrale

Il servizio Google Cloud VMware Engine viene eseguito all'interno di Google Cloud con la sicurezza di rete di base fornita da Google Cloud. Ciò vale sia per l'applicazione VMware Engine sia per l'ambiente VMware dedicato e privato. Google Cloud fornisce protezione integrata contro gli attacchi DDoS (Distributed Denial-of-Service). VMware Engine segue anche la strategia di difesa in profondità per contribuire a proteggere l'edge di rete implementando controlli di sicurezza come regole firewall e NAT.

Segmentazione

VMware Engine dispone di reti di livello 2 logicamente separate che limitano l'accesso alle tue reti interne nel tuo ambiente cloud privato. Puoi proteggere ulteriormente le tue reti cloud privato utilizzando un firewall. La console Google Cloud consente di definire regole per i controlli del traffico di rete EW e NS per tutto il traffico di rete, incluso il traffico intra-cloud privato, il traffico inter-private cloud, il traffico generale verso internet e il traffico di rete verso l'ambiente on-premise.

Gestione delle vulnerabilità e delle patch

Google è responsabile dell'applicazione periodica di patch di sicurezza al software VMware gestito (ESXi, vCenter e NSX).

Identity and Access Management

Puoi autenticarti nella console Google Cloud da Google Cloud utilizzando SSO. Concedi agli utenti l'accesso alla console Google Cloud utilizzando ruoli e autorizzazioni IAM.

Per impostazione predefinita, VMware Engine crea un account utente nel dominio locale vCenter del cloud privato. Puoi aggiungere nuovi utenti locali o configurare vCenter in modo che utilizzi un'origine identità esistente. A questo scopo, aggiungi un'origine identità on-premise esistente o una nuova origine identità all'interno del cloud privato.

L'utente predefinito dispone di privilegi sufficienti per eseguire le operazioni vCenter quotidiane necessarie di vCenter all'interno del cloud privato, ma non dispone dell'accesso amministrativo completo a vCenter. Se è necessario l'accesso amministratore temporaneo, puoi elevare i tuoi privilegi per un periodo di tempo limitato mentre completi le attività amministrative.

Alcuni strumenti e prodotti di terze parti utilizzati con il tuo cloud privato potrebbero richiedere che un utente disponga di privilegi amministrativi in vSphere. Quando crei un cloud privato, VMware Engine crea anche account utente della soluzione con privilegi amministrativi che puoi utilizzare con strumenti e prodotti di terze parti.

Conformità

Google Cloud continua a impegnarsi per ampliare costantemente la nostra copertura rispetto ai più importanti standard di conformità. VMware Engine ha ottenuto le certificazioni di conformità ISO/IEC 27001, 27017, 27018; PCI-DSS; SOC 1, SOC 2 e SOC 3, tra le altre. Inoltre,il Google Cloud Contratto di società in affari (BAA) copre anche VMware Engine.

Per assistenza con l'audit, contatta il tuo rappresentante dell'account per ottenere le certificazioni ISO, i report SOC e le autovalutazioni più recenti.

Passaggi successivi