Sicherheit von VMware Engine – Übersicht
Auf dieser Seite werden die Sicherheitsfunktionen beschrieben, die in VMware Engine verwendet werden, um Ihre Daten und Ihre Umgebung zu schützen. Eine detaillierte Liste der Verantwortlichkeiten von Kunden und Google finden Sie im Modell der geteilten Verantwortung für VMware Engine.
Dedizierte Hardware
Als Teil des VMware Engine-Dienstes erhalten alle Kunden dedizierte Bare-Metal-Hosts mit lokalen angehängten Laufwerken, die von anderer Hardware isoliert sind. Ein ESXi-Hypervisor mit vSAN wird auf jedem Knoten ausgeführt. Die Knoten werden über kundenspezifische VMware vCenter und NSX verwaltet. Wenn Sie keine Hardware zwischen Mandanten freigeben, erhalten Sie eine zusätzliche Isolationsschicht sowie einen Schutz.
Datensicherheit
Kunden behalten die Kontrolle über ihre Daten. Die Verantwortung für Kundendaten ist für den Kunden verantwortlich.
Datenschutz für inaktive Daten und für die Übertragung innerhalb interner Netzwerke
Inaktive Daten in der privaten Cloud-Umgebung können mit der vSAN-Softwareverschlüsselung verschlüsselt werden. Die vSAN-Verschlüsselung nutzt externe Schlüsselverwaltungslösungen zum Speichern von Verschlüsselungsschlüsseln.
VMware Engine aktiviert standardmäßig die Verschlüsselung ruhender vSAN-Daten für alle neu bereitgestellten privaten Clouds. Die Schlüsselverwaltungsinfrastruktur wird im Rahmen des Dienstes von Google verwaltet. Weitere Informationen zum Standardverschlüsselungsmodell finden Sie unter vSAN-Verschlüsselung.
Wenn der KMS von Nutzern verwaltet werden muss, können Sie optional eine externe Schlüsselverwaltungsinfrastruktur bereitstellen und sie als Schlüsselanbieter in vCenter konfigurieren. Eine Liste der geprüften KMS-Anbieter finden Sie unter Unterstützte Anbieter.
Bei Daten während der Übertragung gehen wir davon aus, dass Anwendungen ihre Netzwerkkommunikation innerhalb der internen Netzwerksegmente verschlüsseln. vSphere unterstützt die Verschlüsselung von Daten bei der Übertragung von vMotion-Traffic.
Datenschutz für Daten, die durch öffentliche Netzwerke geleitet werden müssen
Zum Schutz von Daten, die über öffentliche Netzwerke übertragen werden, können Sie IPsec- und SSL-VPN-Tunnel für Ihre privaten Clouds erstellen. Es werden gängige Verschlüsselungsmethoden unterstützt, einschließlich 128-Byte und 256-Byte-AES. Bei der Übertragung werden Daten, einschließlich Authentifizierung, Administratorzugriff und Kundendaten, mit standardmäßigen Verschlüsselungsverfahren (SSH, TLS 1.2 und Secure RDP) verschlüsselt. Zur Übertragung von vertraulichen Informationen werden die Standardverschlüsselungsmechanismen verwendet.
Sichere Beseitigung
Wenn Ihr Dienst abläuft oder gekündigt wird, sind Sie dafür verantwortlich, Ihre Daten zu entfernen oder zu löschen. Google arbeitet mit Ihnen zusammen, um Kundendaten gemäß der Kundenvereinbarung zu löschen oder zurückzugeben, es sei denn, Google ist gesetzlich dazu verpflichtet, einige oder alle personenbezogenen Daten aufzubewahren. Falls erforderlich, werden die Daten von Google archiviert und es werden angemessene Maßnahmen ergriffen, um die weitere Verarbeitung von Kundendaten zu verhindern.
Speicherort der Daten
Die Anwendungsdaten befinden sich in der Region, die Sie bei der Erstellung der privaten Cloud ausgewählt haben. Der Dienst ändert den Standort der Daten nicht, ohne dass eine bestimmte Kundenaktion oder ein bestimmter Trigger erforderlich ist (z. B. vom Nutzer konfigurierte Replikation in eine private Cloud in einer anderen Google Cloud -Region). Wenn Ihr Anwendungsfall jedoch erfordert, können Sie Ihre Arbeitslasten regionenübergreifend bereitstellen sowie die Replikation und die Datenmigration zwischen Regionen konfigurieren.
Datensicherungen
VMware Engine sichert oder archiviert keine Anwendungsdaten von Kunden, die sich in virtuellen VMware-Maschinen befinden. VMware Engine sichert regelmäßig die vCenter- und NSX-Konfiguration. Vor der Sicherung werden alle Daten auf dem Quellverwaltungsserver (z. B. vCenter) mit VMware-APIs verschlüsselt. Die verschlüsselten Sicherungsdaten werden in Cloud Storage-Buckets übertragen und gespeichert.
Netzwerksicherheit
Google Cloud VMware Engine basiert auf Netzwerksicherheitsebenen.
Edge-Sicherheit
Der Google Cloud VMware Engine-Dienst wird in Google Cloud gemäß der grundlegenden Netzwerksicherheit von Google Cloudausgeführt. Dies gilt sowohl für die VMware Engine-Anwendung als auch für die dedizierte und private VMware-Umgebung. Google Cloud bietet integrierten Schutz vor DDoS-Angriffen (Distributed Denial of Service). VMware Engine folgt der Strategie der gestaffelten Sicherheitsebenen, um das Edge-Netzwerk zu schützen und dabei Sicherheitskontrollen wie Firewallregeln und NAT implementiert.
Segmentierung
VMware Engine hat logisch logische Layer-2-Netzwerke, die den Zugriff auf Ihre eigenen internen Netzwerke in Ihrer privaten Cloud-Umgebung einschränken. Mit einer Firewall können Sie Ihre privaten Cloud-Netzwerke zusätzlich schützen. In der Konsole vonGoogle Cloud können Sie Regeln für die EW- und NS-Netzwerkverkehrssteuerung für den gesamten Netzwerkverkehr definieren, einschließlich unternehmensinterner Cloud-Traffic, interregionaler Cloud-Traffic, allgemeiner Traffic zum Internet und Netzwerktraffic zur lokalen Umgebung.
Sicherheitslücken und Patchverwaltung
Google ist für regelmäßige Sicherheitspatches der verwalteten VMware-Software (ESXi, vCenter und NSX) verantwortlich.
Identity and Access Management
Sie können sich über SSO in der Google Cloud -Konsole von Google Cloud authentifizieren. Sie gewähren Nutzern mithilfe von IAM-Rollen und ‑Berechtigungen Zugriff auf die Google Cloud -Konsole.
In der Standardeinstellung erstellt VMware Engine ein Nutzerkonto für Sie in der lokalen vCenter-Domain der privaten Cloud. Sie können neue lokale Nutzer hinzufügen oder vCenter für eine vorhandene Identitätsquelle konfigurieren. Fügen Sie dazu entweder eine vorhandene lokale Identitätsquelle oder eine neue Identitätsquelle in der privaten Cloud hinzu.
Der Standardnutzer verfügt über ausreichende Berechtigungen, um in der privaten Cloud die täglichen VCenter-Vorgänge von vCenter auszuführen. Er hat jedoch keinen vollständigen Administratorzugriff auf vCenter. Wenn vorübergehend Administratorzugriff erforderlich ist, können Sie Ihre Berechtigungen für einen begrenzten Zeitraum erhöhen, während Sie die Administratoraufgaben ausführen.
Einige Drittanbieter-Tools und -Produkte, die mit Ihrer privaten Cloud verwendet werden, erfordern unter Umständen einen Nutzer mit Administratorberechtigungen in vSphere. Wenn Sie eine private Cloud erstellen, erstellt VMware Engine auch Lösungsnutzerkonten mit Administratorberechtigungen, die Sie mit Tools und Produkten von Drittanbietern verwenden können.
Compliance
Google Cloud sind bestrebt, die Abdeckung der wichtigsten Compliance-Standards kontinuierlich zu erweitern. VMware Engine hat unter anderem die Compliance-Zertifizierungen ISO/IEC 27001, 27017, 27018, PCI-DSS, SOC 1, SOC 2 und SOC 3 erhalten. Außerdem deckt die Geschäftspartner-Vereinbarung (Business Associate Agreement,BAA) für Google Cloud auch die VMware Engine ab.
Wenn Sie Unterstützung bei der Prüfung benötigen, wenden Sie sich an Ihren Kundenbetreuer. Dieser stellt Ihnen die neuesten ISO-Zertifizierungen, SOC-Berichte und Selbstbewertungen zur Verfügung.