מידע על מודול פלטפורמה וירטואלי מהימן (vTPM)
מודול פלטפורמה מהימנה וירטואלית (vTPM) הוא ייצוג מבוסס-תוכנה של שבב פיזי של מודול פלטפורמה מהימנה (TPM) 2.0. באמצעות התכונה vTPM, אפשר להוסיף מעבד קריפטו וירטואלי TPM 2.0 למכונה וירטואלית. Google Cloud VMware Engine תומך ב-vTPM.
אתם יכולים להשתמש בספק המפתחות שמוגדר כברירת מחדל, ב-Cloud Key Management Service או ב-KMS חיצוני כדי ליצור vTPM. Google ממליצה להגדיר את ספק המפתחות כספק ברירת המחדל של המפתחות ב-vCenter לפני שיוצרים vTPM.
הוספת מודולי vTPM למכונות וירטואליות
כדי להוסיף vTPM למכונות וירטואליות, מוסיפים את המכשיר הווירטואלי Trusted Platform Module (מודול פלטפורמה מהימנה) למכונה הווירטואלית. מידע נוסף זמין במאמר שאלות ותשובות בנושא vSphere Virtual TPM (vTPM).
הצפנה של vTPM ומכונות וירטואליות עבור מכונות וירטואליות של עומסי עבודה
מכונות וירטואליות של עומסי עבודה משתמשות בערך התחלתי פנימי שמאוחסן בתוך מודול הפלטפורמה הווירטואלית המהימנה (vTPM) כדי להצפין נתונים של עומסי עבודה. כשמוסיפים vTPM, המערכת מצפינה כברירת מחדל את קובצי הבית של מכונת ה-VM, אבל לא כוללת את הדיסקים של המכונה הווירטואלית (VMDK). כדי להצפין את קובצי ה-VMDK, צריך להצפין אותם בנפרד.
אחסון נתונים ודרישות מוקדמות
המערכת מאחסנת את נתוני ה-vTPM בקובץ NVRAM בספריית הבית של המכונה הווירטואלית, יחד עם מטא-נתונים אחרים של המכונה הווירטואלית. כדי להשתמש ב-vTPM, אתם צריכים לעמוד בדרישה הבאה:
- הגדרת ספק מפתחות: צריך להגדיר ספק מפתחות כי הפונקציונליות של vTPM דורשת הצפנה של מכונות וירטואליות. הצפנה של מכונה וירטואלית מגנה על נתוני ה-vTPM בספריית הבית של המכונה הווירטואלית.
שיקולים מרכזיים לגבי הקצאת מפתחות מחדש למכונות וירטואליות עם vTPM
כשמבצעים החלפת מפתח במכונה וירטואלית עם מכשיר vTPM, מתעדכן רק מפתח ההצפנה שמגן על נתוני ה-vTPM בספריית הבית של המכונה הווירטואלית. אי אפשר לשנות את ה-seed ב-vTPM אחרי יצירת המופע.
- כשמוסיפים מכשיר vTPM למכונה וירטואלית, המכשיר יוצר seed פנימי. אפליקציות שפועלות במערכת ההפעלה של האורח יכולות להשתמש בערך ה-seed הזה כדי ליצור סודות או מפתחות הצפנה להגנה על נתוני האפליקציה.
- בנוסף, כדי להפעיל vTPM במכונה וירטואלית צריך להצפין את קובץ המכונה הוירטואלית באמצעות ספק מפתחות חיצוני. ההצפנה של VMDK היא אופציונלית ומושבתת כברירת מחדל.
- מפתח ההצפנה מספק המפתחות החיצוני מצפין את קובצי המכונה הווירטואלית (ואת קובצי ה-VMDK, אם הפעלתם הצפנה). המפתח הזה נפרד מה-seed שמאוחסן במכשיר vTPM או מהמפתחות שאפליקציות יוצרות באמצעות ה-seed הזה.
- צריך להגדיר את ספק המפתחות החיצוני כספק המפתחות שמוגדר כברירת מחדל ב-vCenter.
- הצפנה מחדש של מכונה וירטואלית עם מכשיר vTPM מצפינה מחדש את קובצי ה-VM (ואת קובצי ה-VMDK, אם הפעלתם הצפנה) באמצעות מפתח הצפנה חדש מספק המפתחות החיצוני. הפעולה הזו לא משפיעה על ה-seed או על הסודות שמאוחסנים במכשיר vTPM.
דרישה למכונות וירטואליות מוצפנות
אתם יכולים לנהל מפתחות הצפנה למכונות וירטואליות באמצעות ספק ברירת המחדלGoogle-owned and managed key או Cloud Key Management Service.
אם הפעלתם הצפנה של מכונות וירטואליות (או vTPM) במכונות וירטואליות בענן הפרטי שלכם ואתם משתמשים ב-KMS כדי לנהל מפתחות הצפנה, אתם צריכים להצפין מחדש (החלפה חלקית של מפתחות) כל מכונה וירטואלית אחרי שאתם מבצעים רוטציה של מפתח ה-KMS.
החלפת מפתח רדודה מחליפה רק את המפתח להצפנת מפתחות הצפנה (KEK) ולא משנה את המפתח להצפנת נתונים (DEK) של מכונות ה-VM. בדרך כלל מפעילים הצפנה מחדש חלקית באמצעות הפעולה Re-encrypt ב-vSphere Client.
במהלך הפעולה הזו, המערכת מצפינה מחדש את המפתח הקיים להצפנת נתונים (DEK) באמצעות מפתח חדש להצפנת מפתחות הצפנה (KEK). התהליך הזה מהיר כי הוא לא משכתב נתונים בפועל בדיסק, אלא רק מעדכן את חבילת המפתחות הקטנה שמכילה את מפתח ה-DEK המוצפן. מידע נוסף זמין במסמכי התיעוד הבאים של VMware:
הסיכונים בכישלון של החלפת מפתחות במכונות VM מוצפנות
אם לא תצפינו מחדש מכונות וירטואליות מוצפנות לפני שתמחקו את הגרסה של מפתח KMS שעברה רוטציה (הגרסה הישנה), עלולות לקרות הבעיות הבאות:
- העברות vMotion שנכשלו: מארחי ESXi לא יכולים לפענח את מפתחות ההצפנה של מכונות וירטואליות במהלך vMotion אם אתם מפעילים מחדש את מארחי היעד או מוסיפים אותם לאשכול אחרי רוטציה של מפתחות KMS אבל לפני שמבצעים החלפת מפתחות של המכונה הווירטואלית.
- כשלים בהפעלה: אם מארח מפעיל מחדש את המחשב או מנקה את מטמון המפתחות המקומי שלו, הוא לא יכול לקבל מחדש מפתחות מ-KMS. אם מחקתם את המפתחות הנדרשים מ-KMS, המארח לא יכול לפענח את מפתח הנתונים, ולכן לא ניתן להפעיל מכונות וירטואליות מוצפנות.
שלבים לביצוע פעולת החלפת מפתח במכונות וירטואליות של עומסי עבודה
- ב-vSphere Client, לוחצים לחיצה ימנית על המכונה הווירטואלית.
- בוחרים באפשרות VM Policies > Re-encrypt (מדיניות של מכונות וירטואליות > הצפנה מחדש).
- מאשרים את הבקשה להצפנה מחדש בתיבת הדו-שיח שמופיעה.
- מחכים שהמשימה תסתיים.
- כדי לאמת את החלפת המפתחות, מעבירים את המכונה הווירטואלית למארח שהפעלתם מחדש או שהוספתם לאשכול אחרי רוטציית מפתחות ה-KMS.