加密vSphere虛機 防堵私有雲資料遭竊

若從資料外洩的角度來評估虛擬化平台架構上的安全問題,只要虛擬機器的實體檔案落在惡意人士手中,一切存在於其中的敏感資料都將岌岌可危。本文將以實戰講解的方式,示範如何在VMware vSphere 6.5以上版本中,有效解除這一個潛在於虛擬化架構下的不定時炸彈。

另一種常見加密管理的情境則是有多組KMS的叢集,並需要針對不同的虛擬機器加密需求設定不同的加密原則及不同的KMS叢集,可參考以下的Script範例:

$EncryptionPolicy01= Get-SpbmStora
gePolicy -name "虛擬機器儲存區原則01"
$EncryptionPolicy02 = Get-SpbmStora
gePolicy -name "虛擬機器儲存區原則02"
Get-VM VM01 | Enable-VMEncryption
-policy $EncryptionPolicy01 -KMSC
lusterID "KMSCluster01"
Get-VM VM02 | Enable-VMEncryption
-policy $EncryptionPolicy01 -KMSC
lusterID "KMSCluster02"

在這個範例中主要先建立好兩個加密原則的變數,然後在最後兩道命令參數中,指定VM01與VM02的相對原則名稱,以及KMS叢集名稱。

學會有關於透過PowerCLI命令方式來管理虛擬機器的加密之後,最後來看看如何同樣使用它來管理KMS的配置。首先是新增KMS連線的方法,可透過以下的命令參數範例來新增一個KMS配置:

New-KMServer -KMServer 192.
168.7.235 -KMSClusterId "KMSCluster01"
 -Name "KeyControl"

若是往後需要將上述的KMS配置刪除,可以參考以下命令參數範例:

Remove-KMServer -KMSClusterId
"KMSCluster01" -KMSName "KeyCont
rol"

當有多個KMS叢集在同時運作時,如果想要將選定的叢集設定成預設使用的KMS叢集(例如KMSCluster01),則執行「Set-DefaultKMSCluster -KMSClusterId "KMSCluster01"」。若要查詢目前預設的KMS叢集資訊,則只要執行「Get-DefaultKMSCluster」。其他與KMS管理相關的PowerCLI命令,還包括Get-KMSCluster、Get-KMSClusterInfo、Get-KMServerInfo以及Get-KMServerStatus。

結語

雖然VMware有提供一個測試用的KMIP Server Docker Container,讓IT人員可以在實驗室的環境中體驗一下虛擬機器加密的功能。然而,筆者認為在vCenter之中應當直接內建簡易版的KMIP Server,而不是期望每一位用戶都能夠採用第三方的解決方案來進行整合,畢竟KMS Server並非僅提供虛擬機器的加密保護用途,若沒有其他額外的安全整合需要,如此的投資成本將可能不符合實際的運作效益。

此外,如果能夠再提供一個相容於Microsoft CA(Certificate Authority)憑證的加密整合功能,相信也會更符合現行許多以Active Directory為基礎的網路環境之需要。

<本文作者:顧武雄, Microsoft MVP 2004-2016、MCITP與MCTS認證專家、台灣微軟Technet、TechDays、Webcast、MVA特約資深顧問講師、VMware vExpert 2016-218、IBM Unified Communications/Notes/Domino/Connections Certified。>


追蹤我們Featrue us

本站使用cookie及相關技術分析來改善使用者體驗。瞭解更多

我知道了!