Vista geral da segurança do VMware Engine

Esta página descreve as funcionalidades de segurança que o VMware Engine usa para ajudar a manter os seus dados e ambiente seguros. Para uma lista detalhada das responsabilidades do cliente e da Google, consulte o modelo de responsabilidade partilhada do VMware Engine.

Hardware dedicado

Como parte do serviço VMware Engine, todos os clientes recebem anfitriões de metal nu dedicados com discos anexados locais que estão fisicamente isolados de outro hardware. Um hipervisor ESXi com vSAN é executado em todos os nós. Os nós são geridos através do VMware vCenter e do NSX dedicados ao cliente. A não partilha de hardware entre inquilinos oferece uma camada adicional de isolamento e proteção de segurança.

Segurança dos dados

Os clientes mantêm o controlo e a propriedade dos respetivos dados. A gestão dos dados de clientes é da responsabilidade do cliente.

Proteção de dados inativos e em movimento em redes internas

Os dados em repouso no ambiente de nuvem privada podem ser encriptados através da encriptação baseada em software do vSAN. A encriptação do vSAN baseia-se em soluções de gestão de chaves externas para armazenar chaves de encriptação.

O VMware Engine ativa a encriptação de dados em repouso do vSAN por predefinição para todas as novas nuvens privadas implementadas, com a infraestrutura de gestão de chaves gerida pela Google como parte do serviço. Para ver detalhes relacionados com o modelo de encriptação predefinido, consulte o artigo Acerca da encriptação do vSAN.

Se o KMS tiver de ser gerido pelos utilizadores, pode implementar opcionalmente uma infraestrutura de gestão de chaves externa e configurá-la como um fornecedor de chaves no vCenter. Para ver uma lista de fornecedores de KMS validados, consulte o artigo Fornecedores suportados.

Para dados em trânsito, esperamos que as aplicações encriptem a respetiva comunicação de rede em segmentos de rede internos. O vSphere suporta a encriptação de dados através da rede para tráfego vMotion.

Proteção de dados para dados que têm de se mover através de redes públicas

Para proteger os dados que se movem através de redes públicas, pode criar túneis VPN IPsec e SSL para as suas nuvens privadas. São suportados métodos de encriptação comuns, incluindo AES de 128 bytes e 256 bytes. Os dados em trânsito (incluindo autenticação, acesso administrativo e dados do cliente) são encriptados com mecanismos de encriptação padrão (SSH, TLS 1.2 e RDP seguro). A comunicação que transporta informações confidenciais usa os mecanismos de encriptação padrão.

Eliminação segura

Se o seu serviço expirar ou for terminado, é responsável pela remoção ou eliminação dos seus dados. A Google vai cooperar consigo para eliminar ou devolver todos os dados do cliente, conforme previsto no contrato do cliente, exceto na medida em que a Google seja obrigada pela legislação aplicável a reter alguns ou todos os dados pessoais. Se for necessário reter dados pessoais, a Google vai arquivar os dados e implementar medidas razoáveis para impedir o processamento adicional dos dados do cliente.

Localização de dados

Os dados da sua aplicação estão localizados na região que selecionou durante a criação da nuvem privada. O serviço não altera a localização dos dados por si só sem uma ação ou um acionador específico do cliente (por exemplo, a replicação configurada pelo utilizador para uma nuvem privada numa Google Cloud região diferente). No entanto, se o seu exemplo de utilização o exigir, pode implementar as suas cargas de trabalho em várias regiões e configurar a replicação e a migração de dados entre regiões.

Cópias de segurança de dados

O VMware Engine não faz cópias de segurança nem arquiva dados de aplicações de clientes que residam em máquinas virtuais VMware. O VMware Engine faz uma cópia de segurança periódica da configuração do vCenter e do NSX. Antes da cópia de segurança, todos os dados são encriptados no servidor de gestão de origem (por exemplo, vCenter) através das APIs VMware. Os dados da cópia de segurança encriptados são transportados e armazenados em contentores do Cloud Storage.

Segurança de redes

O Google Cloud VMware Engine baseia-se em camadas de segurança de rede.

Segurança de Edge

O serviço Google Cloud VMware Engine é executado no âmbito da Google Cloud segurança de rede base fornecida pela Google Cloud. Isto aplica-se à aplicação VMware Engine e ao ambiente VMware dedicado e privado. Google Cloud oferece proteção integrada contra ataques de negação de serviço distribuídos (DDoS). O VMware Engine também segue a estratégia de defesa em profundidade para ajudar a proteger o limite da rede através da implementação de controlos de segurança, como regras de firewall e NAT.

Segmentação

O VMware Engine tem redes de camada 2 logicamente separadas que restringem o acesso às suas próprias redes internas no seu ambiente de nuvem privada. Pode proteger ainda mais as suas redes de nuvem privada através de uma firewall. A Google Cloud consola permite-lhe definir regras para controlos de tráfego de rede EW e NS para todo o tráfego de rede, incluindo tráfego na nuvem privada, tráfego entre nuvens privadas, tráfego geral para a Internet e tráfego de rede para o ambiente no local.

Gestão de vulnerabilidades e patches

A Google é responsável pela aplicação periódica de patches de segurança ao software VMware gerido (ESXi, vCenter e NSX).

Gestão de identidade e de acesso

Pode autenticar-se na Google Cloud consola a partir de Google Cloud através do SSO. Concede acesso aos utilizadores para acederem à Google Cloud consola através de funções e autorizações do IAM.

Por predefinição, o VMware Engine cria uma conta de utilizador para si no domínio local do vCenter da nuvem privada. Pode adicionar novos utilizadores locais ou configurar o vCenter para usar uma origem de identidade existente. Para tal, adicione uma origem de identidade no local existente ou uma nova origem de identidade na nuvem privada.

O utilizador predefinido tem privilégios suficientes para realizar as operações diárias necessárias do vCenter na nuvem privada, mas não tem acesso de administrador total ao vCenter. Se o acesso de administrador for necessário temporariamente, pode elevar os seus privilégios durante um período limitado enquanto conclui as tarefas de administrador.

Algumas ferramentas e produtos de terceiros usados com a sua nuvem privada podem exigir que um utilizador tenha privilégios de administrador no vSphere. Quando cria uma nuvem privada, o VMware Engine também cria contas de utilizador da solução com privilégios administrativos que pode usar com as ferramentas e os produtos de terceiros.

Conformidade

Google Cloud continua empenhada em expandir continuamente a nossa cobertura em relação às normas de conformidade mais importantes. O VMware Engine alcançou as certificações de conformidade ISO/IEC 27001, 27017, 27018; PCI-DSS; SOC 1, SOC 2 e SOC 3, entre outras. Além disso,o Google Cloud Contrato de Parceiro Comercial (BAA) também abrange o VMware Engine.

Para receber assistência com a auditoria, contacte o seu representante da conta para obter os certificados ISO, os relatórios SOC e as autoavaliações mais recentes.

O que se segue?