Panoramica della sicurezza di VMware Engine

Questa pagina descrive le funzionalità di sicurezza utilizzate da VMware Engine per contribuire a mantenere al sicuro i tuoi dati e il tuo ambiente. Per un elenco dettagliato delle responsabilità del cliente e di Google, consulta il modello di responsabilità condivisa di VMware Engine.

Hardware dedicato

Nell'ambito del servizio VMware Engine, tutti i clienti ricevono host bare metal dedicati con dischi collegati localmente che sono fisicamente isolati dall'altro hardware. Su ogni nodo viene eseguito un hypervisor ESXi con vSAN. I nodi vengono gestiti tramite VMware vCenter e NSX dedicati al cliente. La mancata condivisione dell'hardware tra gli utenti fornisce un ulteriore livello di isolamento e protezione della sicurezza.

Sicurezza dei dati

I clienti mantengono il controllo e la proprietà dei propri dati. La gestione dei dati dei clienti è responsabilità del cliente.

Protezione dei dati at-rest e in transito all'interno delle reti interne

I dati a riposo nell'ambiente cloud privato possono essere criptati utilizzando la crittografia basata su software vSAN. La crittografia vSAN si basa su soluzioni di gestione delle chiavi esterne per archiviare le chiavi di crittografia.

VMware Engine abilita la crittografia dei dati inattivi di vSAN per impostazione predefinita per tutti i nuovi cloud privati di cui viene eseguito il deployment, con l'infrastruttura di gestione delle chiavi gestita da Google nell'ambito del servizio. Per informazioni dettagliate sul modello di crittografia predefinito, consulta Informazioni sulla crittografia vSAN.

Se il KMS deve essere gestito dagli utenti, puoi eventualmente implementare l'infrastruttura di gestione delle chiavi esterna e configurarla come fornitore di chiavi in vCenter. Per un elenco dei fornitori KMS convalidati, consulta Fornitori supportati.

Per i dati in transito, ci aspettiamo che le applicazioni criptano le proprie comunicazioni di rete all'interno dei segmenti di rete interni. vSphere supporta la crittografia dei dati sulla rete per il traffico vMotion.

Protezione dei dati necessari per il trasferimento su reti pubbliche

Per proteggere i dati che transitano su reti pubbliche, puoi creare tunnel VPN IPsec e SSL per i tuoi cloud privati. Sono supportati metodi di crittografia comuni, tra cui AES a 128 e 256 byte. I dati in transito (inclusa l'autenticazione, l'accesso amministrativo e i dati dei clienti) vengono criptati con meccanismi di crittografia standard (SSH, TLS 1.2 e RDP sicuro). Le comunicazioni che trasportano informazioni sensibili utilizzano i meccanismi di crittografia standard.

Smaltimento sicuro

Se il servizio scade o viene interrotto, sei responsabile della rimozione o dell'eliminazione dei tuoi dati. Google collaborerà con te per eliminare o restituire tutti i dati del cliente come previsto dal contratto con il cliente, tranne nei casi in cui la legge vigente richieda a Google di conservare alcuni o tutti i dati personali. Se necessario per conservare i dati personali, Google li archivierà e implementera misure ragionevoli per impedire qualsiasi ulteriore trattamento.

Località dei dati

I dati dell'applicazione si trovano nella regione selezionata durante la creazione del cloud privato. Il servizio non modifica autonomamente la posizione dei dati senza un'azione o un attivatore specifico del cliente (ad esempio, la replica configurata dall'utente a un cloud privato in un'altra regione Google Cloud). Tuttavia, se il tuo caso d'uso lo richiede, puoi eseguire il deployment dei tuoi workload in più regioni e configurare la replica e la migrazione dei dati tra le regioni.

Backup dei dati

VMware Engine non esegue il backup o l'archiviazione dei dati delle applicazioni dei clienti che si trovano all'interno delle macchine virtuali VMware. VMware Engine esegue periodicamente il backup della configurazione di vCenter e NSX. Prima del backup, tutti i dati vengono criptati sul server di gestione dell'origine (ad esempio vCenter) utilizzando le API VMware. I dati di backup criptati vengono trasportati e archiviati nei bucket Cloud Storage.

Sicurezza della rete

Google Cloud VMware Engine si basa su livelli di sicurezza di rete.

Sicurezza perimetrale

Il servizio Google Cloud VMware Engine viene eseguito in Google Cloud in base alla sicurezza di rete di base fornita da Google Cloud. Questo vale sia per l'applicazione VMware Engine sia per l'ambiente VMware dedicato e privato. Google Cloud fornisce protezione integrata contro gli attacchi di tipo denial-of-service (DDoS) distribuiti. VMware Engine segue inoltre la strategia di difesa in profondità per contribuire a proteggere l'edge della rete implementando controlli di sicurezza come le regole del firewall e NAT.

Segmentazione

VMware Engine dispone di reti di livello 2 logicamente separate che limitano l'accesso alle tue reti interne nell'ambiente cloud privato. Puoi difendere ulteriormente le tue reti cloud privato utilizzando un firewall. La console Google Cloud consente di definire regole per i controlli del traffico di rete EW e NS per tutto il traffico di rete, tra cui traffico intra-cloud privato, traffico inter-cloud privato, traffico generale su internet e traffico di rete nell'ambiente on-premise.

Gestione delle vulnerabilità e delle patch

Google è responsabile dell'applicazione periodica di patch di sicurezza del software VMware gestito (ESXi, vCenter e NSX).

Identity and Access Management

Puoi autenticarti alla console Google Cloud da Google Cloud utilizzando l'SSO. Concedi agli utenti l'accesso alla console Google Cloud utilizzando ruoli e autorizzazioni IAM.

Per impostazione predefinita, VMware Engine crea un account utente nel dominio locale di vCenter del cloud privato. Puoi aggiungere nuovi utenti locali o configurare vCenter in modo che utilizzi un'origine identità esistente. A tale scopo, aggiungi un'origine identità on-premise esistente o una nuova origine identità all'interno del cloud privato.

L'utente predefinito dispone dei privilegi sufficienti per eseguire le operazioni giornaliere necessarie di vCenter all'interno del cloud privato, ma non ha accesso amministrativo completo a vCenter. Se è necessario temporaneamente l'accesso amministrativo, puoi elevare i tuoi privilegi per un periodo di tempo limitato mentre completi le attività di amministrazione.

Alcuni strumenti e prodotti di terze parti utilizzati con il tuo cloud privato potrebbero richiedere all'utente di disporre dei privilegi amministrativi in vSphere. Quando crei un cloud privato, VMware Engine crea anche account utente della soluzione con privilegi amministrativi che puoi utilizzare con gli strumenti e i prodotti di terze parti.

Conformità

Google Cloud si impegna a espandere costantemente la propria copertura in base agli standard di conformità più importanti. VMware Engine ha ottenuto, tra le altre, le certificazioni di conformità ISO/IEC 27001, 27017, 27018; PCI-DSS; SOC 1, SOC 2 e SOC 3. Inoltre, il Contratto di società in affari (BAA) di Google Cloud copre anche VMware Engine.

Per assistenza con la verifica, contatta il rappresentante del tuo account per richiedere i certificati ISO, i report SOC e le autovalutazioni più recenti.

Passaggi successivi