VxRAILでのVSAN暗号化サポート前提について

MAGADENさん

ご返信ありがとうございます。

vSphere EncryptionのKMSの外部・内部について私も確認していたのですが、VSANやHAクラスタ内への構築を制限する記載は見当たらず、仕組み上もKMS,VCSA,ESXiの鍵の受け渡しが可能であれば問題ないはずですので、KMSがクラスタ内部にあっても問題ないという認識です。

上記の制限がありますので、VCSA、PSC、KMSのVMは暗号化することができません。

クラスタのOff/Onを実施する際はVCとKMSが起動しないと暗号化されたVMを起動することはできません

その他VADP(SAN mode)によるバックアップができないなどの制限もありますので、VMware DocにあるBestPracticeやCaveatをじっくり読む必要がありそうです。

また重複排除・圧縮を利用している場合、vsphere encryptionを使うと重複排除が効きにくくなります。

VxRail Manager VMについては、本来vSphere encryptionの仕組み上に存在しないものなので、その観点でいえば暗号化しても問題ないです。

VxRail としてもVSAN関連の管理はVxRail Managerに依存しておらずVxRail Managerがなくとも正常に稼働を継続できます。

ただし、もしKMSの不具合起因でVxRail Mangerが起動できない状態になると、現行唯一のサポートされたClusterシャットダウン手順が使用できなくなりますね。

そういう意味ではVxRail Managerは暗号化しないほうがいいと思います。

（暗号化するメリットもないでしょうし。。。）

万一KMSのトラブル起因で、暗号化されたVxRail Managerが使用できなくなったとしてもファイルベースバックアップを取得していれば新規VMとして再構築できますが、時間もかかり面倒ですね。。

Kanedaさん

ご連絡ありがとうございます。

KMSが内部でも動作的には問題なさそうという事でご連絡頂きありがとうございました。

VCSA,PSC,KMSは暗号化不可制限は確かにそうですね。

またVxRAILの構成ではVxRAIL  Managerについての言及も聞かれると思われますが、

こちらも暗号化不可と考えておいた方がいいでしょうか？

6.5からの新しい機能ですが、アプライアンスとしての動作に支障がでる構成なので

KB等ございましたらご案内頂けますと助かります。

kanedaさん

ご回答頂きありがとうございます。

VxRAIL Managerは暗号化可能だが非推奨という事で理解いたしました。

有益な情報ありがとうございました。

本件、参考情報ございましたので補足させて頂きます。

結論として、vSphere Encryptionの場合、KMSはクラスタ内に

構成可能という回答が頂けました。

VxRailとしてvSAN EncryptionとvSphere Encryptionが使用可能である旨は、

以下の資料【P15  VXRAIL  ENCRYPTION】の章に記載がありました。

DELL EMC VXRAIL APPLIANCES COMPREHENSIVE SECURITY BY DESIGN

http://www.emc.com/collateral/white-papers/vxrail-comprehensive-security-design.pdf

#2018/04リリースの新しい資料です。

P16に”FIPS 140-2 validated”の記載も確認できました。

上記資料のP16中ほどに、「It’s important to remember the KMS should be run physically separate from the elements that it encrypts. 」という記載もあることから、vSphere EncryptionであってもKMSは外建てが推奨となります。

ご共有ありがとうございます。

勉強になりました。

MAGADENさん

vSAN encryptionについてですが、VxRail 4.5.200以降ではInternal VCSAでも使用可能になったようです。
詳細はvxrail vcenter planning guideに記載があります。

ちなみに外部VCのVxRail内への配置も可能になっていました。

Naoyuki Kanedaさん

vSAN encryptionでの情報Updateありがとうございます。参考になりました。