Resumen de seguridad de VMware Engine
En esta página se describen las funciones de seguridad que usa VMware Engine para proteger tus datos y tu entorno. Para ver una lista detallada de las responsabilidades del cliente y de Google, consulta el modelo de responsabilidad compartida de VMware Engine.
Hardware específico
Como parte del servicio VMware Engine, todos los clientes obtienen hosts de hardware desnudo dedicados con discos locales conectados que están aislados físicamente de otro hardware. En cada nodo se ejecuta un hipervisor ESXi con vSAN. Los nodos se gestionan a través de VMware vCenter y NSX dedicados al cliente. Al no compartir hardware entre los inquilinos, se proporciona una capa adicional de aislamiento y protección de seguridad.
Seguridad de los datos
Los clientes mantienen el control y la propiedad de sus datos. La custodia de los datos de los clientes es responsabilidad del cliente.
Protección de datos en reposo y en tránsito en redes internas
Los datos en reposo del entorno de nube privada se pueden cifrar mediante el cifrado basado en software de vSAN. El cifrado de vSAN se basa en soluciones de gestión de claves externas para almacenar las claves de cifrado.
VMware Engine habilita el cifrado de datos en reposo de vSAN de forma predeterminada en todas las nubes privadas nuevas que se implementen, con una infraestructura de gestión de claves gestionada por Google como parte del servicio. Para obtener más información sobre el modelo de cifrado predeterminado, consulta el artículo Acerca del cifrado de vSAN.
Si los usuarios deben gestionar el KMS, puedes desplegar de forma opcional una infraestructura de gestión de claves externa y configurarla como proveedor de claves en vCenter. Para ver una lista de proveedores de KMS validados, consulta Proveedores admitidos.
En el caso de los datos en tránsito, esperamos que las aplicaciones cifren su comunicación de red en segmentos de red internos. vSphere admite el cifrado de datos a través de la red para el tráfico de vMotion.
Protección de datos que deben circular por redes públicas
Para proteger los datos que se mueven por redes públicas, puede crear túneles VPN IPsec y SSL para sus nubes privadas. Se admiten métodos de cifrado habituales, como AES de 128 y 256 bytes. Los datos en tránsito (incluida la autenticación, el acceso administrativo y los datos de los clientes) se encriptan con mecanismos de encriptado estándar (SSH, TLS 1.2 y RDP seguro). La comunicación que transporta información sensible utiliza los mecanismos de cifrado estándar.
Eliminación segura
Si tu servicio caduca o se cancela, eres responsable de eliminar tus datos. Google colaborará contigo para eliminar o devolver todos los datos del cliente, tal como se estipula en el contrato del cliente, excepto en la medida en que la legislación aplicable exija a Google conservar algunos o todos los datos personales. Si es necesario conservar datos personales, Google los archivará e implementará medidas razonables para evitar que se sigan tratando.
Ubicación de los datos
Los datos de tu aplicación se encuentran en la región que seleccionaste durante la creación de la nube privada. El servicio no cambia la ubicación de los datos por sí solo sin que el cliente realice una acción específica o se active un evento (por ejemplo, la replicación configurada por el usuario en una nube privada de otra Google Cloud región). Sin embargo, si tu caso práctico lo requiere, puedes desplegar tus cargas de trabajo en varias regiones y configurar la replicación y la migración de datos entre regiones.
Copias de seguridad de datos
VMware Engine no crea copias de seguridad ni archiva los datos de las aplicaciones de los clientes que residen en máquinas virtuales de VMware. VMware Engine crea copias de seguridad periódicas de la configuración de vCenter y NSX. Antes de crear la copia de seguridad, todos los datos se cifran en el servidor de gestión de origen (por ejemplo, vCenter) mediante las APIs de VMware. Los datos de copia de seguridad cifrados se transportan y almacenan en segmentos de Cloud Storage.
Seguridad de la red
VMware Engine de Google Cloud se basa en capas de seguridad de red.
Seguridad perimetral
El servicio VMware Engine de Google Cloud se ejecuta en Google Cloud con la seguridad de red básica que proporciona Google Cloud. Esto se aplica tanto a la aplicación VMware Engine como al entorno de VMware dedicado y privado. Google Cloud proporciona protección integrada contra ataques de denegación de servicio distribuido (DDoS). VMware Engine también sigue la estrategia de defensa en profundidad para proteger el perímetro de la red mediante la implementación de controles de seguridad, como reglas de cortafuegos y NAT.
Segmentación
VMware Engine tiene redes de capa 2 lógicamente independientes que restringen el acceso a tus propias redes internas en tu entorno de nube privada. Puedes proteger aún más tus redes de nube privada usando un cortafuegos. La consolaGoogle Cloud te permite definir reglas para los controles de tráfico de red de EW y NS para todo el tráfico de red, incluido el tráfico de nube privada interna, el tráfico de nube privada externa, el tráfico general a Internet y el tráfico de red al entorno on-premise.
Gestión de vulnerabilidades y parches
Google se encarga de aplicar parches de seguridad periódicos al software de VMware gestionado (ESXi, vCenter y NSX).
Gestión de Identidades y Accesos
Puedes autenticarte en la consola de Google Cloud desde Google Cloud mediante el SSO. Para conceder acceso a los usuarios a la consola Google Cloud , utiliza roles y permisos de gestión de identidades y accesos (IAM).
De forma predeterminada, VMware Engine crea una cuenta de usuario en el dominio local de vCenter de la nube privada. Puede añadir usuarios locales o configurar vCenter para que use una fuente de identidad. Para ello, añade una fuente de identidad local que ya tengas o una nueva fuente de identidad en la nube privada.
El usuario predeterminado tiene suficientes privilegios para realizar las operaciones diarias necesarias de vCenter en la nube privada, pero no tiene acceso de administrador completo a vCenter. Si necesitas acceso de administrador temporalmente, puedes aumentar tus privilegios durante un periodo limitado mientras completas las tareas de administrador.
Algunas herramientas y productos de terceros que se usan con tu nube privada pueden requerir que un usuario tenga privilegios de administrador en vSphere. Cuando creas una nube privada, VMware Engine también crea cuentas de usuario de soluciones con privilegios de administrador que puedes usar con las herramientas y los productos de terceros.
Cumplimiento
Google Cloud mantiene su compromiso de ampliar continuamente su cobertura para cumplir los estándares más importantes. VMware Engine ha obtenido las certificaciones de cumplimiento ISO/IEC 27001, 27017 y 27018, PCI-DSS, SOC 1, SOC 2 y SOC 3, entre otras. Además,el Google Cloud contrato de colaboración empresarial Google Cloud también incluye VMware Engine.
Si necesitas ayuda con las auditorías, ponte en contacto con tu representante de cuenta para obtener los últimos certificados ISO, informes SOC y autoevaluaciones.