Segurança do VMware Engine
Responsabilidade compartilhada
O Google Cloud VMware Engine tem um modelo de responsabilidade compartilhada para segurança. A segurança confiável na nuvem é alcançada por meio das responsabilidades compartilhadas de clientes e do Google como provedor de serviços. Essa matriz de responsabilidade oferece maior segurança e elimina pontos únicos de falha.
Hardware dedicado
Como parte do serviço VMware Engine, todos os clientes recebem hosts de metal dedicados com discos anexados locais que estão fisicamente isolados de outro hardware. Um hipervisor ESXi com vSAN é executado em cada nó. Os nós são gerenciados por meio do VMware vCenter e do NSX dedicados ao cliente. Não compartilhar hardware entre locatários fornece uma camada adicional de isolamento e proteção de segurança.
Segurança dos dados
Os clientes mantêm o controle e a propriedade dos dados deles. A administração dos dados do cliente é de responsabilidade do cliente.
Proteção de dados em repouso e dados em trânsito em redes internas
Os dados em repouso no ambiente de nuvem privada podem ser criptografados usando a criptografia baseada em software vSAN. A criptografia vSAN depende de soluções externas de gerenciamento de chaves para armazenar chaves de criptografia.
O VMware Engine ativa a criptografia de dados em repouso vSAN por padrão para qualquer nova nuvem privada implantada, com a infraestrutura de gerenciamento de chaves gerenciada pelo Google como parte do serviço. Para ver detalhes relacionados ao modelo de criptografia padrão, consulte Sobre a criptografia vSAN.
Se o KMS for gerenciado pelos usuários, você poderá implantar uma infraestrutura externa de gerenciamento de chaves e configurá-la como um provedor de chaves no vCenter. Para ver uma lista de provedores KMS validados, consulte Fornecedores compatíveis.
Para dados em trânsito, esperamos que os aplicativos criptografem a comunicação de rede dentro de segmentos de rede internos. O vSphere oferece suporte à criptografia de dados via cabo para o tráfego vMotion.
Proteção de dados para dados necessários para passar por redes públicas
Para proteger os dados que passam por redes públicas, é possível criar túneis VPN IPsec e SSL para as nuvens privadas. Métodos comuns de criptografia são compatíveis, incluindo AES de 128 bytes e 256 bytes. Os dados em trânsito (incluindo autenticação, acesso administrativo e dados do cliente) são criptografados com mecanismos de criptografia padrão (SSH, TLS 1.2 e RDP seguro). A comunicação que transporta informações confidenciais usa os mecanismos de criptografia padrão.
Descarte seguro
Se o serviço expirar ou for encerrado, você será responsável por remover ou excluir seus dados. O Google colaborará com você para excluir ou devolver todos os dados do cliente, conforme fornecido no contrato do cliente, exceto se exigido pela legislação aplicável para reter alguns ou todos os dados pessoais. Se necessário para reter dados pessoais, o Google arquivará os dados e implementará medidas razoáveis para impedir que os dados do cliente sejam processados.
Local dos dados
Os dados do seu aplicativo estão localizados na região selecionada durante a criação da nuvem privada. O serviço não altera o local dos dados por si só sem um gatilho ou ação específica do cliente (por exemplo, replicação configurada pelo usuário para uma nuvem privada em uma região diferente do Google Cloud). No entanto, se seu caso de uso exigir, você poderá implantar suas cargas de trabalho entre regiões e configurar a replicação e a migração de dados entre regiões.
Backups de dados
O VMware Engine não faz backup ou arquivamento de dados de aplicativos clientes que residem nas máquinas virtuais VMware. O VMware Engine faz backup periódico da configuração do vCenter e do NSX. Antes do backup, todos os dados são criptografados no servidor de gerenciamento de origem (por exemplo, vCenter) usando APIs VMware. Os dados de backup criptografados são transportados e armazenados em buckets do Cloud Storage.
Segurança de rede
O Google Cloud VMware Engine depende de camadas de segurança de rede.
Segurança da borda
O serviço Google Cloud VMware Engine é executado no Google Cloud sob a segurança de rede de base fornecida pelo Google Cloud. Isso se aplica ao aplicativo VMware Engine e ao ambiente dedicado e privado do VMware. O Google Cloud oferece proteção integrada contra ataques distribuídos de negação de serviço (DDoS, na sigla em inglês). O VMware Engine também segue a estratégia de defesa em profundidade para ajudar a proteger a borda da rede implementando controles de segurança, como regras de firewall e NAT.
Segmentação
O VMware Engine tem redes de camada 2 logicamente separadas que restringem o acesso às suas redes internas no ambiente de nuvem privada. Você pode proteger ainda mais suas redes de nuvem privada usando um firewall. Com o console do Google Cloud, é possível definir regras para controles de tráfego de rede EW e NS para todo o tráfego de rede, incluindo tráfego de nuvem privada intraprivada e interprivada, tráfego geral para a Internet e tráfego de rede para o ambiente local.
Vulnerabilidade e gerenciamento de patches
O Google é responsável pelos patches de segurança periódicos do software VMware gerenciado (ESXi, vCenter e NSX).
Identity and Access Management
É possível fazer a autenticação no console do Google Cloud usando o SSO. Conceda acesso aos usuários para acessar o console do Google Cloud usando papéis e permissões do IAM.
Por padrão, o VMware Engine cria uma conta de usuário para você no domínio local do vCenter da nuvem privada. Adicione novos usuários locais ou configure o vCenter para usar uma origem de identidade existente. Para isso, adicione uma fonte de identidade local atual ou uma nova fonte de identidade dentro da nuvem privada.
O usuário padrão tem privilégios suficientes para executar as operações diárias necessárias do vCenter na nuvem privada, mas não tem acesso total de administrador ao vCenter. Se o acesso de administrador for temporariamente necessário, você poderá aumentar seus privilégios por um período limitado enquanto realiza as tarefas de administrador.
Algumas ferramentas e produtos usados em sua nuvem privada podem exigir que um usuário tenha privilégios de administrador no vSphere. Quando você cria uma nuvem privada, o VMware Engine também cria contas de usuário da solução com privilégios administrativos que podem ser usados com ferramentas e produtos de terceiros.
Compliance
O Google Cloud continua comprometido em expandir continuamente nossa cobertura para atender aos padrões de conformidade mais importantes. O VMware Engine tem as certificações ISO/IEC 27001, 27017, 27018; PCI-DSS; SOC 1, SOC 2 e SOC 3, entre outras. Além disso, o Contrato de parceria comercial (BAA) do Google Cloud também abrange o VMware Engine.
Para receber ajuda com a auditoria, entre em contato com o representante da conta para ter acesso aos certificados ISO, relatórios SOC e autoavaliações mais recentes.