Présentation de la sécurité de VMware Engine

Cette page décrit les fonctionnalités de sécurité utilisées par VMware Engine assurer la sécurité de vos données et de votre environnement. Pour obtenir la liste détaillée de vos responsabilités en tant que client et de celles de Google, consultez le modèle de responsabilité partagée VMware Engine.

Matériel dédié

Dans le cadre du service VMware Engine, tous les clients disposent d'hôtes physiques dédiés dotés de disques installés localement, isolés physiquement des autres matériels. Un hyperviseur ESXi avec vSAN s'exécute sur chaque nœud. Les nœuds sont gérés via des solutions VMware vCenter et NSX dédiées. Le partage du matériel entre les locataires assure un niveau supplémentaire d'isolation et de protection en termes de sécurité.

Sécurité des données

Les clients conservent le contrôle et la propriété de leurs données. Le client est responsable de la gestion de ses données.

Protection des données au repos et en transit dans les réseaux internes

Les données au repos dans l'environnement de cloud privé peuvent être chiffrées à l'aide du logiciel de chiffrement de vSAN. Le chiffrement de vSAN s'appuie sur des solutions de gestion de clés externes pour stocker les clés de chiffrement.

VMware Engine active par défaut le chiffrement des données au repos pour tous les nouveaux clouds privés déployés, l'infrastructure de gestion des clés étant gérée par Google dans le cadre du service. Pour en savoir plus sur le modèle de chiffrement par défaut, consultez la page À propos du chiffrement vSAN.

Si le service de gestion des clés doit être géré par les utilisateurs, vous pouvez éventuellement déployer une infrastructure de gestion des clés externes et la configurer en tant que fournisseur de clés dans vCenter. Pour une des fournisseurs KMS validés, consultez Fournisseurs acceptés.

Pour les données en transit, nous attendons des applications qu'elles chiffrent la communication réseau au sein des segments réseau internes. vSphere est compatible avec le chiffrement des données sur le réseau pour le trafic vMotion.

Protection des données transitant par des réseaux publics

Pour protéger les données qui transitent par des réseaux publics, vous pouvez créer des tunnels VPN IPsec et SSL pour vos clouds privés. Les méthodes de chiffrement courantes sont acceptées, y compris AES 128 octets et 256 octets. Les données en transit (y compris l'authentification, l'accès administrateur et les données client) sont chiffrées avec des mécanismes de chiffrement standards (SSH, TLS 1.2 et session RDP sécurisée). La communication qui transporte des informations sensibles utilise les mécanismes de chiffrement standards.

Destruction sécurisée

Si votre service expire ou prend fin, vous êtes responsable de la suppression de vos données. Google coopérera avec vous pour supprimer ou vous renvoyer toutes les données client conformément à ce contrat, sauf dans la mesure où Google est légalement tenu de conserver une partie ou l'intégralité de ces données à caractère personnel. S'il est nécessaire de conserver des données à caractère personnel, Google les archive et met en œuvre des mesures raisonnables pour éviter que ces données ne soient traitées ultérieurement.

Zone des données

Les données de votre application sont situées dans la région que vous avez sélectionnée lors de la création du cloud privé. Le service ne modifie pas l'emplacement des données sans une action ou un signal spécifique du client (par exemple, une réplication configurée par l'utilisateur vers un cloud privé dans une autre région de Google Cloud). Toutefois, si votre cas d'utilisation l'exige, vous pouvez déployer vos charges de travail à travers les régions et configurer la réplication et la migration des données entre les régions.

Sauvegardes de données :

VMware Engine ne sauvegarde ni n'archive les données des applications clientes hébergées par les machines virtuelles VMware. VMware sauvegarde régulièrement les configurations de vCenter et de NSX. Avant la sauvegarde, toutes les données sont chiffrées sur le serveur de gestion source (par exemple, vCenter) à l'aide des API VMware. Les données de sauvegarde chiffrées sont transférées et stockées dans des buckets Cloud Storage.

Sécurité du réseau

Google Cloud VMware Engine repose sur des couches de sécurité réseau.

Sécurité edge

Le service Google Cloud VMware Engine s'exécute dans Google Cloud avec la sécurité réseau de base fournie par Google Cloud. Cela s'applique à l'application VMware Engine, ainsi qu'à l'environnement VMware dédié et privé. Google Cloud fournit une protection intégrée contre les attaques par déni de service distribué (DDoS). VMware Engine s'appuie également sur la stratégie de défense en profondeur visant à sécuriser la périphérie du réseau en implémentant des contrôles de sécurité tels que des règles de pare-feu VPC et NAT.

Segmentation

VMware Engine dispose de réseaux de couche 2 séparés de manière logique, qui limitent l'accès à vos propres réseaux internes dans votre environnement cloud privé. Vous pouvez renforcer la protection de vos réseaux cloud privés à l'aide d'un pare-feu. La La console Google Cloud vous permet de définir des règles pour les contrôles du trafic réseau EW et NS. pour tout le trafic réseau, y compris le trafic cloud intra-privé, le trafic cloud, le trafic général vers Internet et le trafic réseau vers environnement sur site.

Gestion des failles et des correctifs

Google est responsable du correctif périodique de sécurité des logiciels VMware géré (ESXi, vCenter et NSX).

Identity and Access Management

Vous pouvez vous authentifier dans la console Google Cloud depuis Google Cloud à l'aide de l'authentification unique. Vous accordez aux utilisateurs l'accès à la console Google Cloud à l'aide des rôles IAM et autorisations.

Par défaut, VMware Engine crée un compte utilisateur dans le domaine local vCenter du cloud privé. Vous pouvez ajouter de nouveaux utilisateurs locaux ou configurer vCenter pour qu'il utilise une source d'identité existante. Pour ce faire, ajoutez une source d'identité sur site existante ou une nouvelle source d'identité dans le cloud privé.

L'utilisateur par défaut dispose des droits suffisants pour effectuer les opérations quotidiennes nécessaires les opérations vCenter de vCenter dans le cloud privé, mais elles n'ont pas un accès administrateur complet à vCenter. Si l'accès administrateur est temporairement vous pouvez élever vos privilèges pendant une période limitée pour effectuer les tâches d'administration.

Certains outils et produits tiers utilisés avec votre cloud privé peuvent nécessiter qu'un utilisateur dispose de droits d'administrateur dans vSphere. Lorsque vous créez un cloud privé, VMware Engine crée également des comptes utilisateur de solution avec des droits d'administrateur que vous pouvez utiliser avec les outils et produits tiers.

Conformité

Google Cloud s'engage à continuer d'étendre sa couverture pour faire face aux les normes de conformité les plus importantes. VMware Engine a obtenu les certifications de conformité ISO/CEI 27001, 27017 et 27018, PCI-DSS, SOC 1, SOC 2 et SOC 3, entre autres. De plus, l'accord de partenariat Google Cloud couvre également VMware Engine.

Pour obtenir de l'aide concernant les audits, contactez votre responsable de compte pour obtenir les derniers certificats ISO, rapports SOC et auto-évaluations.

Étape suivante