Sécurité de VMware Engine

Responsabilité partagée

Google Cloud VMware Engine dispose d'un modèle de responsabilité partagée pour la sécurité. Une sécurité fiable dans le cloud est assurée via les responsabilités partagées des clients et Google en tant que fournisseur de services. Cette matrice de responsabilité offre davantage de sécurité et élimine les points de défaillance uniques.

Matériel dédié

Dans le cadre du service VMware Engine, tous les clients disposent d'hôtes physiques dédiés dotés de disques installés localement, isolés physiquement des autres matériels. Un hyperviseur ESXi avec vSAN s'exécute sur chaque nœud. Les nœuds sont gérés via des solutions VMware vCenter et NSX dédiées. Le partage du matériel entre les locataires assure un niveau supplémentaire d'isolation et de protection en termes de sécurité.

Sécurité des données

Les clients conservent le contrôle et la propriété de leurs données. Le client est responsable de la gestion de ses données.

Protection des données au repos et en transit dans les réseaux internes

Les données au repos dans l'environnement de cloud privé peuvent être chiffrées à l'aide du logiciel de chiffrement de vSAN. Le chiffrement de vSAN s'appuie sur des solutions de gestion de clés externes pour stocker les clés de chiffrement.

VMware Engine active par défaut le chiffrement des données au repos pour tous les nouveaux clouds privés déployés, l'infrastructure de gestion des clés étant gérée par Google dans le cadre du service. Pour en savoir plus sur le modèle de chiffrement par défaut, consultez la page À propos du chiffrement vSAN.

Si le service de gestion des clés doit être géré par les utilisateurs, vous pouvez éventuellement déployer une infrastructure de gestion des clés externes et la configurer en tant que fournisseur de clés dans vCenter. Pour obtenir la liste des fournisseurs de service de gestion des clés validés, consultez la section Fournisseurs acceptés.

Pour les données en transit, nous attendons des applications qu'elles chiffrent la communication réseau au sein des segments réseau internes. vSphere est compatible avec le chiffrement des données sur le réseau pour le trafic vMotion.

Protection des données transitant par des réseaux publics

Pour protéger les données qui transitent par des réseaux publics, vous pouvez créer des tunnels VPN IPsec et SSL pour vos clouds privés. Les méthodes de chiffrement courantes sont acceptées, y compris AES 128 octets et 256 octets. Les données en transit (y compris l'authentification, l'accès administrateur et les données client) sont chiffrées avec des mécanismes de chiffrement standards (SSH, TLS 1.2 et session RDP sécurisée). La communication qui transporte des informations sensibles utilise les mécanismes de chiffrement standards.

Destruction sécurisée

Si votre service expire ou prend fin, vous êtes responsable de la suppression de vos données. Google coopérera avec vous pour supprimer ou vous renvoyer toutes les données client conformément à ce contrat, sauf dans la mesure où Google est légalement tenu de conserver une partie ou l'intégralité de ces données à caractère personnel. S'il est nécessaire de conserver des données à caractère personnel, Google les archive et met en œuvre des mesures raisonnables pour éviter que ces données ne soient traitées ultérieurement.

Zone des données

Les données de votre application sont situées dans la région que vous avez sélectionnée lors de la création du cloud privé. Le service ne modifie pas l'emplacement des données sans une action ou un signal spécifique du client (par exemple, une réplication configurée par l'utilisateur vers un cloud privé dans une autre région de Google Cloud). Toutefois, si votre cas d'utilisation l'exige, vous pouvez déployer vos charges de travail à travers les régions et configurer la réplication et la migration des données entre les régions.

Sauvegardes de données :

VMware Engine ne sauvegarde ni n'archive les données des applications clientes hébergées par les machines virtuelles VMware. VMware sauvegarde régulièrement les configurations de vCenter et de NSX. Avant la sauvegarde, toutes les données sont chiffrées sur le serveur de gestion source (par exemple, vCenter) à l'aide des API VMware. Les données de sauvegarde chiffrées sont transférées et stockées dans des buckets Cloud Storage.

Sécurité du réseau

Google Cloud VMware Engine repose sur des couches de sécurité réseau.

Sécurité edge

Le service Google Cloud VMware Engine s'exécute dans Google Cloud avec la sécurité réseau de base fournie par Google Cloud. Cela s'applique à l'application VMware Engine, ainsi qu'à l'environnement VMware dédié et privé. Google Cloud fournit une protection intégrée contre les attaques par déni de service distribué (DDoS). VMware Engine s'appuie également sur la stratégie de défense en profondeur visant à sécuriser la périphérie du réseau en implémentant des contrôles de sécurité tels que des règles de pare-feu VPC et NAT.

Segmentation

VMware Engine dispose de réseaux de couche 2 séparés de manière logique, qui limitent l'accès à vos propres réseaux internes dans votre environnement cloud privé. Vous pouvez renforcer la protection de vos réseaux cloud privés à l'aide d'un pare-feu. Le portail VMware Engine vous permet de définir des règles pour les contrôles du trafic réseau EW et NS pour tout le trafic réseau, y compris le trafic cloud intra-privé, le trafic cloud inter-privé, le trafic général vers Internet et le trafic réseau vers l'environnement sur site.

Gestion des failles et des correctifs

Google est responsable du correctif périodique de sécurité des logiciels VMware géré (ESXi, vCenter et NSX).

Gestion de l'authentification et des accès

Vous pouvez vous authentifier sur le portail VMware Engine à partir de Google Cloud à l'aide de l'authentification unique. Vous accordez aux utilisateurs l'accès au portail VMware Engine au moyen des rôles et les autorisations IAM.

Par défaut, VMware Engine crée un compte utilisateur dans le domaine local vCenter du cloud privé. Vous pouvez ajouter de nouveaux utilisateurs locaux ou configurer vCenter pour qu'il utilise une source d'identité existante. Pour ce faire, ajoutez une source d'identité sur site existante ou une nouvelle source d'identité dans le cloud privé.

L'utilisateur par défaut dispose des privilèges nécessaires pour effectuer les opérations quotidiennes nécessaires sur vCenter au sein du cloud privé. Toutefois, il ne dispose pas d'un accès administrateur complet à vCenter. Si l'accès administrateur est temporairement requis, vous pouvez élever vos privilèges durant une période limitée, le temps d'effectuer les tâches d'administration.

Certains outils et produits tiers utilisés avec votre cloud privé peuvent nécessiter qu'un utilisateur dispose de droits d'administrateur dans vSphere. Lorsque vous créez un cloud privé, VMware Engine crée également des comptes utilisateur de solution avec des droits d'administrateur que vous pouvez utiliser avec les outils et produits tiers.