Seguridad de VMware Engine

Responsabilidad compartida

Google Cloud VMware Engine tiene un modelo de responsabilidad compartida para la seguridad. La seguridad de confianza en la nube se logra a través de las responsabilidades compartidas de los clientes y Google como proveedor de servicios. Esta matriz de responsabilidad proporciona mayor seguridad y elimina los puntos únicos de fallo.

Hardware dedicado

Como parte del servicio VMware Engine, todos los clientes tienen hosts de equipos físicos dedicados con discos locales conectados que están aislados de manera física de otro hardware. Un hipervisor ESXi con vSAN se ejecuta en cada nodo. Los nodos se administran a través de VMware vCenter y NSX dedicados del cliente. Si no compartes hardware entre usuarios, se proporciona una capa adicional de aislamiento y protección de seguridad.

Seguridad de los datos

Los clientes mantienen el control y la propiedad de sus datos. La administración de los datos del cliente es responsabilidad del cliente.

Protección de datos en reposo y en tránsito en redes internas

Los datos en reposo en el entorno de nube privada se pueden encriptar mediante la encriptación basada en software vSAN. La encriptación vSAN se basa en las soluciones de administración de claves externas para almacenar las claves de encriptación.

VMware Engine habilita la encriptación de datos en reposo vSAN de forma predeterminada para cualquier nube privada nueva implementada, con una infraestructura de administración de claves administrada por Google como parte del servicio. Para obtener detalles relacionados con el modelo de encriptación predeterminado, consulta Información sobre la encriptación vSAN.

Si los usuarios deben administrar el KMS, tienes la opción de implementar una infraestructura de administración de claves externas y configurarla como un proveedor de claves en vCenter. Para obtener una lista de los proveedores de KMS validados, consulta Proveedores admitidos.

En el caso de los datos en tránsito, se espera que las aplicaciones encripten la comunicación de red dentro de los segmentos de red internos. vSphere admite la encriptación de datos por cable para el tráfico de vMotion.

Protección para los datos necesarios a fin de desplazarse por las redes públicas

A fin de proteger los datos que se trasladan a través de redes públicas, puedes crear túneles VPN de IPsec y SSL para tus nubes privadas. Se admiten métodos de encriptación comunes, que incluyen AES de 128 bytes y de 256 bytes. Los datos en tránsito (lo que incluye la autenticación, el acceso de administrador y los datos del cliente) se encriptan con mecanismos de encriptación estándar (SSH, TLS 1.2 y RDP seguro). La comunicación que transporta la información sensible usa los mecanismos de encriptación estándar.

Eliminación segura

Si el servicio se vence o se resuelve, eres responsable de quitar o borrar tus datos. Google cooperará contigo para borrar o devolver todos los datos del cliente, tal como se estipula en el acuerdo del cliente, excepto en la medida en que la ley aplicable exija a Google algunos o todos los datos personales. Si es necesario conservar los datos personales, Google los archivará y, luego, implementará medidas razonables para evitar que los datos del cliente se sigan procesando.

Ubicación de los datos

Los datos de tu aplicación se encuentran en la región que seleccionaste durante la creación de la nube privada. El servicio no cambia la ubicación de los datos por su cuenta sin una acción o un activador específico del cliente (por ejemplo, la replicación configurada por el usuario a una nube privada en una región de Google Cloud diferente). Sin embargo, si tu caso de uso lo requiere, puedes implementar tus cargas de trabajo en todas las regiones y configurar la replicación y la migración de datos entre regiones.

Copias de seguridad de datos

VMware Engine no realiza copias de seguridad ni archiva datos de aplicaciones de los clientes que residen en máquinas virtuales de VMware. VMware Engine realiza copias de seguridad periódicas de la configuración de vCenter y NSX. Antes de realizar la copia de seguridad, todos los datos se encriptan en el servidor de administración de origen (por ejemplo, vCenter) mediante las API de VMware. Los datos de copia de seguridad encriptada se transportan y se almacenan en depósitos de Cloud Storage.

Seguridad de red

Google Cloud VMware Engine se basa en capas de seguridad de red.

Seguridad perimetral

El servicio de Google Cloud VMware Engine se ejecuta en Google Cloud según la seguridad de red del modelo de referencia que proporciona Google Cloud. Esto se aplica al entorno de VMware dedicado privado y a la aplicación de VMware Engine. Google Cloud ofrece protección integrada contra ataques de denegación de servicio distribuido (DSD). VMware Engine también sigue la estrategia de defensa en profundidad para ayudar a proteger el perímetro de red mediante la implementación de controles de seguridad como reglas de firewalls de VPC y NAT.

Segmentación

VMware Engine tiene redes de capa 2 separadas de forma lógica que restringen el acceso a tus propias redes internas en tu entorno de nube privada. Puedes proteger aún más tus redes de nube privada mediante un firewall. El portal de VMware Engine te permite definir reglas para los controles de tráfico de red de EW y NS de todo el tráfico de red, incluido el tráfico dentro de la nube privada, el tráfico entre nubes privadas, el tráfico general a Internet y el tráfico de red al entorno local.

Vulnerabilidad y administración de parches

Google es responsable de los parches de seguridad periódicos del software de VMware administrado (ESXi, vCenter y NSX).

Administración de identidades y accesos

Puedes autenticarte en el portal de VMware Engine desde Google Cloud mediante el SSO. Otorga acceso a los usuarios al portal de VMware Engine mediante las funciones y los permisos de IAM.

De forma predeterminada, VMware Engine crea una cuenta de usuario para ti en el dominio local de vCenter de la nube privada. Puedes agregar nuevos usuarios locales o configurar vCenter para usar una fuente de identidad existente. Para ello, agrega una fuente de identidad local existente o una fuente de identidad nueva dentro de la nube privada.

El usuario predeterminado tiene suficientes privilegios para realizar las operaciones diarias necesarias de vCenter en la nube privada, pero no tiene acceso completo de administrador a vCenter. Si el acceso de administrador se requiere de forma temporal, puedes elevar tus privilegios durante un período limitado mientras completas las tareas del administrador.

Algunas herramientas y productos de terceros que se usan con tu nube privada pueden requerir que un usuario tenga privilegios administrativos en vSphere. Cuando creas una nube privada, VMware Engine también crea cuentas de usuario de solución con privilegios administrativos que puedes usar con las herramientas y los productos de terceros.