Visão geral da segurança do VMware Engine

Esta página descreve os recursos de segurança que o VMware Engine usa para ajudar você manter seus dados e o ambiente seguros. Para uma lista detalhada do que você, são responsabilidade do cliente e do Google, consulte o modelo de responsabilidade compartilhada do VMware Engine.

Hardware dedicado

Como parte do serviço VMware Engine, todos os clientes recebem hosts de metal dedicados com discos anexados locais que estão fisicamente isolados de outro hardware. Um hipervisor ESXi com vSAN é executado em cada nó. Os nós são gerenciados por meio do VMware vCenter e do NSX dedicados ao cliente. Não compartilhar hardware entre locatários fornece uma camada adicional de isolamento e proteção de segurança.

Segurança dos dados

Os clientes mantêm o controle e a propriedade dos dados deles. A administração dos dados do cliente é de responsabilidade do cliente.

Proteção de dados em repouso e dados em trânsito em redes internas

Os dados em repouso no ambiente de nuvem privada podem ser criptografados usando a criptografia baseada em software vSAN. A criptografia vSAN depende de soluções externas de gerenciamento de chaves para armazenar chaves de criptografia.

O VMware Engine ativa a criptografia de dados em repouso vSAN por padrão para qualquer nova nuvem privada implantada, com a infraestrutura de gerenciamento de chaves gerenciada pelo Google como parte do serviço. Para ver detalhes relacionados ao modelo de criptografia padrão, consulte Sobre a criptografia vSAN.

Se o KMS for gerenciado pelos usuários, você poderá implantar uma infraestrutura externa de gerenciamento de chaves e configurá-la como um provedor de chaves no vCenter. Para conferir uma lista de provedores KMS validados, consulte Fornecedores compatíveis.

Para dados em trânsito, esperamos que os aplicativos criptografem a comunicação de rede nos segmentos internos da rede. O vSphere é compatível com criptografia de dados por rede para o tráfego do vMotion.

Proteção de dados para dados necessários para passar por redes públicas

Para proteger os dados que passam por redes públicas, é possível criar túneis VPN IPsec e SSL para as nuvens privadas. Métodos comuns de criptografia são compatíveis, incluindo AES de 128 bytes e 256 bytes. Os dados em trânsito (incluindo autenticação, acesso administrativo e dados do cliente) são criptografados com mecanismos de criptografia padrão (SSH, TLS 1.2 e RDP seguro). A comunicação que transporta informações confidenciais usa os mecanismos de criptografia padrão.

Descarte seguro

Se o serviço expirar ou for encerrado, você será responsável por remover ou excluir seus dados. O Google colaborará com você para excluir ou devolver todos os dados do cliente, conforme fornecido no contrato do cliente, exceto se exigido pela legislação aplicável para reter alguns ou todos os dados pessoais. Se necessário para reter dados pessoais, o Google arquivará os dados e implementará medidas razoáveis para impedir que os dados do cliente sejam processados.

Local dos dados

Os dados do seu aplicativo estão localizados na região selecionada durante a criação da nuvem privada. O serviço não altera o local dos dados por si só sem um gatilho ou ação específica do cliente (por exemplo, replicação configurada pelo usuário para uma nuvem privada em uma região diferente do Google Cloud). No entanto, se seu caso de uso exigir, você poderá implantar suas cargas de trabalho entre regiões e configurar a replicação e a migração de dados entre regiões.

Backups de dados

O VMware Engine não faz backup ou arquivamento de dados de aplicativos clientes que residem nas máquinas virtuais VMware. O VMware Engine faz backup periódico da configuração do vCenter e do NSX. Antes do backup, todos os dados são criptografados no servidor de gerenciamento de origem (por exemplo, vCenter) usando APIs VMware. Os dados de backup criptografados são transportados e armazenados em buckets do Cloud Storage.

Segurança de rede

O Google Cloud VMware Engine depende de camadas de segurança de rede.

Segurança da borda

O serviço Google Cloud VMware Engine é executado no Google Cloud sob a segurança de rede de base fornecida pelo Google Cloud. Isso se aplica ao aplicativo VMware Engine e ao ambiente dedicado e privado do VMware. O Google Cloud oferece proteção integrada contra ataques distribuídos de negação de serviço (DDoS, na sigla em inglês). O VMware Engine também segue a estratégia de defesa em profundidade para ajudar a proteger a borda da rede implementando controles de segurança, como regras de firewall e NAT.

Segmentação

O VMware Engine tem redes de camada 2 logicamente separadas que restringem o acesso às suas redes internas no ambiente de nuvem privada. Você pode proteger ainda mais suas redes de nuvem privada usando um firewall. O console do Google Cloud permite definir regras para controles de tráfego de rede EW e NS para todo o tráfego de rede, incluindo tráfego de nuvem intra-privada, tráfego de nuvem inter-privada, tráfego geral para a Internet e tráfego de rede para o ambiente local.

Vulnerabilidade e gerenciamento de patches

O Google é responsável pelos patches de segurança periódicos do software VMware gerenciado (ESXi, vCenter e NSX).

Identity and Access Management

É possível se autenticar no console do Google Cloud pelo Google Cloud usando o SSO. Você concede acesso aos usuários para acessar o console do Google Cloud usando papéis e permissões do IAM.

Por padrão, o VMware Engine cria uma conta de usuário para você no domínio local do vCenter da nuvem privada. Adicione novos usuários locais ou configure o vCenter para usar uma origem de identidade existente. Para isso, adicione uma fonte de identidade local atual ou uma nova fonte de identidade dentro da nuvem privada.

O usuário padrão tem privilégios suficientes para executar as operações diárias do vCenter na nuvem privada, mas não tem acesso total de administrador ao vCenter. Se o acesso do administrador for temporariamente necessário, você poderá aumentar seus privilégios por um período limitado enquanto conclui as tarefas do administrador.

Algumas ferramentas e produtos usados em sua nuvem privada podem exigir que um usuário tenha privilégios de administrador no vSphere. Quando você cria uma nuvem privada, o VMware Engine também cria contas de usuário da solução com privilégios de administrador que podem ser usados com as ferramentas e os produtos de terceiros.

Compliance

O Google Cloud continua comprometido em expandir continuamente nossa cobertura de acordo com os padrões de compliance mais importantes. O VMware Engine alcançou as certificações de compliance ISO/IEC 27001, 27017, 27018, PCI-DSS, SOC 1, SOC 2 e SOC 3, entre outras. Além disso, o Contrato de parceria comercial (BAA, na sigla em inglês) do Google Cloud também se aplica ao VMware Engine.

Para receber ajuda com a auditoria, entre em contato com o representante da conta para receber os certificados ISO, relatórios SOC e autoavaliações mais recentes.

A seguir