Seguridad de VMware Engine
Responsabilidad compartida
Google Cloud VMware Engine tiene un modelo de responsabilidad compartida para la seguridad. La seguridad de confianza en la nube se logra a través de las responsabilidades compartidas de los clientes y Google como proveedor de servicios. Esta matriz de responsabilidad proporciona mayor seguridad y elimina los puntos únicos de fallo.
Hardware dedicado
Como parte del servicio VMware Engine, todos los clientes tienen hosts de equipos físicos dedicados con discos locales conectados que están aislados de manera física de otro hardware. Un hipervisor ESXi con vSAN se ejecuta en cada nodo. Los nodos se administran a través de VMware vCenter y NSX dedicados del cliente. Si no compartes hardware entre usuarios, se proporciona una capa adicional de aislamiento y protección de seguridad.
Seguridad de los datos
Los clientes mantienen el control y la propiedad de sus datos. La administración de los datos del cliente es responsabilidad del cliente.
Protección de datos en reposo y en tránsito en redes internas
Los datos en reposo en el entorno de nube privada se pueden encriptar mediante la encriptación basada en software vSAN. La encriptación vSAN se basa en las soluciones de administración de claves externas para almacenar las claves de encriptación.
VMware Engine habilita la encriptación de datos en reposo vSAN de forma predeterminada para cualquier nube privada nueva implementada, con una infraestructura de administración de claves administrada por Google como parte del servicio. Para obtener detalles relacionados con el modelo de encriptación predeterminado, consulta Información sobre la encriptación vSAN.
Si los usuarios deben administrar el KMS, tienes la opción de implementar una infraestructura de administración de claves externas y configurarla como un proveedor de claves en vCenter. Para un de proveedores de KMS validados, consulta Proveedores admitidos.
Para los datos en tránsito, esperamos que las aplicaciones encripten su red la comunicación dentro de segmentos de redes internas. vSphere admite la encriptación de datos por cable para el tráfico de vMotion.
Protección para los datos necesarios a fin de desplazarse por las redes públicas
A fin de proteger los datos que se trasladan a través de redes públicas, puedes crear túneles VPN de IPsec y SSL para tus nubes privadas. Se admiten métodos de encriptación comunes, que incluyen AES de 128 bytes y de 256 bytes. Los datos en tránsito (lo que incluye la autenticación, el acceso de administrador y los datos del cliente) se encriptan con mecanismos de encriptación estándar (SSH, TLS 1.2 y RDP seguro). La comunicación que transporta la información sensible usa los mecanismos de encriptación estándar.
Eliminación segura
Si el servicio se vence o se resuelve, eres responsable de quitar o borrar tus datos. Google cooperará contigo para borrar o devolver todos los datos del cliente, tal como se estipula en el acuerdo del cliente, excepto en la medida en que la ley aplicable exija a Google algunos o todos los datos personales. Si es necesario conservar los datos personales, Google los archivará y, luego, implementará medidas razonables para evitar que los datos del cliente se sigan procesando.
Ubicación de los datos
Los datos de tu aplicación se encuentran en la región que seleccionaste durante la creación de la nube privada. El servicio no cambia la ubicación de los datos por su cuenta sin una acción o un activador específico del cliente (por ejemplo, la replicación configurada por el usuario a una nube privada en una región de Google Cloud diferente). Sin embargo, si tu caso de uso lo requiere, puedes implementar tus cargas de trabajo en todas las regiones y configurar la replicación y la migración de datos entre regiones.
Copias de seguridad de datos
VMware Engine no realiza copias de seguridad ni archiva datos de aplicaciones de los clientes que residen en máquinas virtuales de VMware. VMware Engine realiza copias de seguridad periódicas de la configuración de vCenter y NSX. Antes de realizar la copia de seguridad, todos los datos se encriptan en el servidor de administración de origen (por ejemplo, vCenter) mediante las API de VMware. Los datos de copia de seguridad encriptada se transportan y se almacenan en depósitos de Cloud Storage.
Seguridad de red
Google Cloud VMware Engine se basa en capas de seguridad de red.
Seguridad perimetral
El servicio de Google Cloud VMware Engine se ejecuta en Google Cloud según la seguridad de red del modelo de referencia que proporciona Google Cloud. Esto se aplica al entorno de VMware dedicado privado y a la aplicación de VMware Engine. Google Cloud ofrece protección integrada contra ataques de denegación de servicio distribuido (DSD). VMware Engine también sigue la estrategia de defensa en profundidad para ayudar a proteger el perímetro de red mediante la implementación de controles de seguridad como reglas de firewalls de VPC y NAT.
Segmentación
VMware Engine tiene redes de capa 2 separadas de forma lógica que restringen el acceso a tus propias redes internas en tu entorno de nube privada. Puedes proteger aún más tus redes de nube privada mediante un firewall. El La consola de Google Cloud te permite definir reglas para los controles de tráfico de red EW y NS para todo el tráfico de red, incluido el tráfico de nube privada, tráfico de la nube, tráfico general a Internet y tráfico de red a la entorno local.
Vulnerabilidad y administración de parches
Google es responsable de los parches de seguridad periódicos del software de VMware administrado (ESXi, vCenter y NSX).
Administración de identidades y accesos
Puedes autenticarte en la consola de Google Cloud desde Google Cloud con SSO. Otorga acceso a los usuarios para que accedan a la consola de Google Cloud con roles de IAM y permisos.
De forma predeterminada, VMware Engine crea una cuenta de usuario para ti en el dominio local de vCenter de la nube privada. Puedes agregar nuevos usuarios locales o configurar vCenter para usar una fuente de identidad existente. Para ello, agrega una fuente de identidad local existente o una fuente de identidad nueva dentro de la nube privada.
El usuario predeterminado tiene los privilegios suficientes para realizar las tareas Las operaciones de vCenter de vCenter dentro de la nube privada, pero no tienen acceso completo de administrador a vCenter. Si el acceso de administrador está temporalmente necesario, puedes elevar tus privilegios durante un período limitado mientras completar las tareas del administrador.
Algunas herramientas y productos de terceros que se usan con tu nube privada pueden requerir que un usuario tenga privilegios administrativos en vSphere. Cuando creas una carpeta privada en la nube, VMware Engine también crea cuentas de usuario de soluciones con privilegios administrativos que puedes usar con herramientas y productos de terceros.
Cumplimiento
Google Cloud mantiene el compromiso de ampliar continuamente nuestra cobertura contra los estándares de cumplimiento más importantes. VMware Engine obtuvo ISO/IEC 27001, 27017, 27018; PCI-DSS; SOC 1, SOC 2 y SOC 3 certificaciones de cumplimiento, entre otras. Además, Google Cloud Business El Acuerdo de Asociación (BAA) también abarca VMware Engine.
Si necesita ayuda con las auditorías, comuníquese con su representante de cuenta para conocer las últimas certificados ISO, informes SOC y autoevaluaciones.