VMware Engine 安全概览

本页介绍了 VMware Engine 用于保护数据和环境安全的安全功能。如需详细了解您（客户）负责哪些事项以及 Google 负责哪些事项，请参阅 VMware Engine 共担责任模型。

专用硬件

作为 VMware Engine 服务的一部分，所有客户都会获得专用裸机主机，该主机具有实际与其他硬件隔离的本地挂接磁盘。带有 vSAN 的 ESXi 管理程序在每个节点上运行这些节点通过客户专属的 VMware vCenter 和 NSX 进行管理。租户之间不共享硬件提供了额外的隔离层和安全保护。

数据安全

客户对其数据保持控制和所有权。客户数据的管理由客户负责。

内部网络中静态数据和传输数据的数据保护

私有云环境中的静态数据可以使用基于 vSAN 软件的加密技术进行加密。vSAN 加密依赖于外部密钥管理解决方案来存储加密密钥。

VMware Engine 默认为部署的任何新私有云启用 vSAN 静态数据加密，并将由 Google 管理的密钥管理基础架构作为服务的一部分。如需详细了解默认加密模型，请参阅 vSAN 加密简介。

如果 KMS 必须由用户管理，您可以选择部署外部密钥管理基础架构，并将其配置为 vCenter 中的密钥提供商。如需查看经过验证的 KMS 提供商的列表，请参阅支持的供应商。

对于传输中的数据，我们希望应用程序在内部网段内加密其网络通信。vSphere 支持通过有线对 vMotion 流量进行数据加密。

针对通过公共网络传输的数据提供数据保护

为了保护通过公共网络传输的数据，您可以为您的私有云创建 IPsec 和 SSL VPN 隧道。支持常见的加密方法，包括 128 字节和 256 字节 AES。传输中的数据（包括身份验证、管理员权限和客户数据）均使用标准加密机制（SSH、TLS 1.2 和 Secure RDP）进行加密。传输敏感信息的通信使用标准加密机制。

安全处置

如果您的服务到期或终止，则您应负责移除或删除数据。除适用法律要求谷歌保留部分或全部个人数据外，Google 将与您合作删除或返还客户协议中提供的所有客户数据。如果需要保留任何个人数据，Google 会归档这些数据并采取合理措施，以防止进一步处理客户数据。

数据位置

您的应用数据位于您在私有云创建期间选择的地区中。在没有特定客户操作或触发器情况下（例如，用户配置复制到不同 Google Cloud 地区的私有云），服务本身不会更改数据的位置。但是，如果您的用例需要，则可以跨地区部署工作负载并配置地区之间的复制和数据迁移。

数据备份

VMware Engine 不会备份或归档位于 VMware 虚拟机中的客户应用数据。VMware Engine 会定期备份 vCenter 和 NSX 配置。在备份之前，使用 VMware API 在来源管理服务器（例如，vCenter）上对所有数据进行加密。系统会传输加密的备份数据并将其存储在 Cloud Storage 存储分区中。

网络安全

Google Cloud VMware Engine 依赖于网络安全层。

边缘安全

Google Cloud VMware Engine 服务在 Google Cloud 内的 Google Cloud 提供的基准网络安全下运行。这适用于 VMware Engine 应用和专用 VMware 环境及私有 VMware 环境。Google Cloud 提供针对分布式拒绝服务 (DDoS) 攻击的内置保护机制。VMware Engine 也遵循深度防御策略，通过实施防火墙规则和 NAT 等安全控制来帮助确保网络边缘安全。

分割

VMware Engine 在逻辑上有独立的第 2 层网络，它限制您在私有云环境中访问自己的内部网络。您可以使用防火墙进一步保护您的私有云网络。通过 Google Cloud 控制台，您可以为所有网络流量（包括私有云内流量、私有云间流量、到互联网的常规流量以及到本地环境的网络流量）定义 EW 和 NS 网络流量控制规则。

漏洞和补丁管理

Google 负责管理 VMware 软件的定期安全补丁程序（ESXi、vCenter 和 NSX）。

Identity and Access Management

您可以使用单点登录从 Google Cloud 向 Google Cloud 控制台进行身份验证。您可以使用 IAM 角色和权限向用户授予访问 Google Cloud 控制台的权限。

默认情况下，VMware Engine 会在私有云的 vCenter 本地网域中为您创建用户账户。您可以添加新的本地用户，也可以配置 vCenter 以使用现有身份源。为此，请在私有云中添加现有本地身份源或新的身份源。

默认用户拥有足够的权限在私有云中执行必要的 vCenter 的日常操作，但没有对 vCenter 的完整管理员访问权限。如果您暂时需要管理员权限，则可以在完成管理员任务的同时在有限的时间内提升您的权限。

与您的私有云搭配使用的一些第三方工具和产品可能需要用户在 vSphere 中拥有管理员权限。创建私有云时，VMware Engine 还会创建具有管理员权限的解决方案用户账号，以便用于第三方工具和产品。

合规性

Google Cloud 始终致力于不断扩大我们在最重要的合规性标准方面的覆盖范围。VMware Engine 已获得 ISO/IEC 27001、27017、27018、PCI-DSS、SOC 1、SOC 2 和 SOC 3 等合规性认证。此外，Google Cloud 业务伙伴协议 (BAA) 也涵盖 VMware Engine。

如需审核方面的帮助，请与您的客户代表联系，获取最新的 ISO 证书、SOC 报告和自我评估。

后续步骤