Segurança do VMware Engine
Responsabilidade compartilhada
O Google Cloud VMware Engine tem um modelo de responsabilidade compartilhada para segurança. A segurança confiável na nuvem é alcançada por meio das responsabilidades compartilhadas de clientes e do Google como provedor de serviços. Essa matriz de responsabilidade oferece maior segurança e elimina pontos únicos de falha.
Hardware dedicado
Como parte do serviço VMware Engine, todos os clientes recebem hosts de metal dedicados com discos anexados locais que estão fisicamente isolados de outro hardware. Um hipervisor ESXi com vSAN é executado em cada nó. Os nós são gerenciados por meio do VMware vCenter e do NSX dedicados ao cliente. Não compartilhar hardware entre locatários fornece uma camada adicional de isolamento e proteção de segurança.
Segurança dos dados
Os clientes mantêm o controle e a propriedade dos dados deles. A administração dos dados do cliente é de responsabilidade do cliente.
Proteção de dados em repouso e dados em trânsito em redes internas
Os dados em repouso no ambiente de nuvem privada podem ser criptografados usando a criptografia baseada em software vSAN. A criptografia vSAN depende de soluções externas de gerenciamento de chaves para armazenar chaves de criptografia.
O VMware Engine ativa a criptografia de dados em repouso vSAN por padrão para qualquer nova nuvem privada implantada, com a infraestrutura de gerenciamento de chaves gerenciada pelo Google como parte do serviço. Para ver detalhes relacionados ao modelo de criptografia padrão, consulte Sobre a criptografia vSAN.
Se o KMS for gerenciado pelos usuários, você poderá implantar uma infraestrutura externa de gerenciamento de chaves e configurá-la como um provedor de chaves no vCenter. Para um de provedores de KMS validados, consulte Fornecedores aceitos.
Para os dados em trânsito, esperamos que os aplicativos criptografem a rede em segmentos da rede interna. O vSphere oferece suporte à criptografia dados por rede para o tráfego do vMotion.
Proteção de dados para dados necessários para passar por redes públicas
Para proteger os dados que passam por redes públicas, é possível criar túneis VPN IPsec e SSL para as nuvens privadas. Métodos comuns de criptografia são compatíveis, incluindo AES de 128 bytes e 256 bytes. Os dados em trânsito (incluindo autenticação, acesso administrativo e dados do cliente) são criptografados com mecanismos de criptografia padrão (SSH, TLS 1.2 e RDP seguro). A comunicação que transporta informações confidenciais usa os mecanismos de criptografia padrão.
Descarte seguro
Se o serviço expirar ou for encerrado, você será responsável por remover ou excluir seus dados. O Google colaborará com você para excluir ou devolver todos os dados do cliente, conforme fornecido no contrato do cliente, exceto se exigido pela legislação aplicável para reter alguns ou todos os dados pessoais. Se necessário para reter dados pessoais, o Google arquivará os dados e implementará medidas razoáveis para impedir que os dados do cliente sejam processados.
Local dos dados
Os dados do seu aplicativo estão localizados na região selecionada durante a criação da nuvem privada. O serviço não altera o local dos dados por si só sem um gatilho ou ação específica do cliente (por exemplo, replicação configurada pelo usuário para uma nuvem privada em uma região diferente do Google Cloud). No entanto, se seu caso de uso exigir, você poderá implantar suas cargas de trabalho entre regiões e configurar a replicação e a migração de dados entre regiões.
Backups de dados
O VMware Engine não faz backup ou arquivamento de dados de aplicativos clientes que residem nas máquinas virtuais VMware. O VMware Engine faz backup periódico da configuração do vCenter e do NSX. Antes do backup, todos os dados são criptografados no servidor de gerenciamento de origem (por exemplo, vCenter) usando APIs VMware. Os dados de backup criptografados são transportados e armazenados em buckets do Cloud Storage.
Segurança de rede
O Google Cloud VMware Engine depende de camadas de segurança de rede.
Segurança da borda
O serviço Google Cloud VMware Engine é executado no Google Cloud sob a segurança de rede de base fornecida pelo Google Cloud. Isso se aplica ao aplicativo VMware Engine e ao ambiente dedicado e privado do VMware. O Google Cloud oferece proteção integrada contra ataques distribuídos de negação de serviço (DDoS, na sigla em inglês). O VMware Engine também segue a estratégia de defesa em profundidade para ajudar a proteger a borda da rede implementando controles de segurança, como regras de firewall e NAT.
Segmentação
O VMware Engine tem redes de camada 2 logicamente separadas que restringem o acesso às suas redes internas no ambiente de nuvem privada. Você pode proteger ainda mais suas redes de nuvem privada usando um firewall. A O console do Google Cloud permite definir regras para controles de tráfego de rede EW e NS para todo o tráfego de rede, incluindo tráfego de nuvem intraprivada, tráfego da nuvem, tráfego geral para a Internet e tráfego de rede para a no ambiente local.
Vulnerabilidade e gerenciamento de patches
O Google é responsável pelos patches de segurança periódicos do software VMware gerenciado (ESXi, vCenter e NSX).
Identity and Access Management
É possível autenticar no console do Google Cloud pelo Google Cloud usando o SSO. Você concede aos usuários acesso para acessar o console do Google Cloud usando papéis do IAM e do Google Cloud.
Por padrão, o VMware Engine cria uma conta de usuário para você no domínio local do vCenter da nuvem privada. Adicione novos usuários locais ou configure o vCenter para usar uma origem de identidade existente. Para isso, adicione uma fonte de identidade local atual ou uma nova fonte de identidade dentro da nuvem privada.
O usuário padrão tem privilégios suficientes para realizar tarefas diárias Operações do vCenter do vCenter dentro da nuvem privada, mas não têm acesso total de administrador ao vCenter. Se o acesso de administrador estiver temporariamente necessário, você pode aumentar seus privilégios por um período limitado enquanto concluir as tarefas de administrador.
Algumas ferramentas e produtos usados em sua nuvem privada podem exigir que um usuário tenha privilégios de administrador no vSphere. Quando você cria um Cloud, o VMware Engine também cria contas de usuário da solução com privilégios administrativos que podem ser usados com as ferramentas e os produtos de terceiros.
Compliance
O Google Cloud continua com o compromisso de expandir continuamente nossa cobertura para as normas de compliance mais importantes. O VMware Engine alcançou ISO/IEC 27001, 27017, 27018 PCI-DSS; SOC 1, SOC 2 e SOC 3 certificações de conformidade, entre outras. Além disso, o Google Cloud Business O contrato de parceria (BAA) também abrange o VMware Engine.
Para obter assistência com a auditoria, entre em contato com o representante da conta para obter as Certificados ISO, relatórios SOC e autoavaliações.