Key Management Server (KMS) verstehen und einrichten VMs in VMware vSphere verschlüsseln

Mit einem Key Management Server können Administratoren in VMware-Umgebungen zentral die Verschlüsselung von VMs steuern. Wir zeigen die Vorgehensweise, und auf was bei der Einrichtung geachtet werden muss.

Anbieter zum Thema

Moxa Europe GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Wenn in VMware-Umgebungen auf Verschlüsselung gesetzt wird, ist auf den einzelnen Hosts und VMs keine spezielle Software notwendig. Auch die Schlüssel, die für die Verschlüsselung notwendig sind, speichert die Umgebung weder auf den Hosts noch den VMs. Dadurch können nahezu alle Betriebssysteme in den VMs verschlüsselt werden, da das Betriebssystem dazu keine speziellen Agenten oder Einstellungen benötigt. Alle Aufgaben zur Verschlüsselung übernehmen KMS, vCenter und die beteiligten vSphere-Hosts.

Alle wichtigen Daten, Schlüssel und die Steuerung der Verschlüsselung, werden über den Key Management Server abgewickelt. Bei dem KMS handelt sich um einen externen Server, der mit vCenter kommuniziert, um die die Verschlüsselung zu steuern. vCenter fordert Schlüssel generell immer von einem externen KMS an. Der KMS generiert und speichert die Schlüssel und leitet sie an vCenter weiter.

Bildergalerie

Bildergalerie mit 5 Bildern

Verschlüsselte VMs werden nicht nur verschlüsselt betrieben, sondern sind auch verschlüsselt, wenn sie mit vMotion zwischen Hosts übertragen werden. Auch die Funktionen von HA und DRS sowie FT sind kompatibel mit der Verschlüsselung. Grundsätzlich gibt es also keine Einschränkungen bei der Verschlüsselung.

Verschlüsselung mit dem KMS steuern

Der KMS ist ein externes System, das mit vCenter kommuniziert. Beim Einsatz eines KMS sollte aber darauf geachtet werden, dass der eingesetzte Server kompatibel mit der eingesetzten VMware vSphere-Version ist. Die entsprechenden Informationen sind im VMware Compatibility Guide zu finden.

Die VM-Verschlüsselung in vSphere unterstützt KMIP-konforme (Key Management Interoperability Protocol) Key-Management-Server. Dabei erfolgt die Verschlüsselung auf Basis der vSphere-Hosts (ESXi). Die Verschlüsselung wird über Speicherrichtlinien umgesetzt. Diese werden VMs zugewiesen. Es müssen in einer Umgebung nicht alle VMs verschlüsselt werden, sondern verschlüsselte und nicht-verschlüsselte-VMs können auf einem System parallel laufen. Auch das Verschlüsseln von nicht verschlüsselten VMs ist auf diesem Weg jederzeit möglich, sowie die das Deaktivieren der Verschlüsselung für eine VM.

vMotion kann seit vSphere 6.5 Daten verschlüsselt übertragen. Das bedeutet, dass auch bei der Verschiebung einer VM auf einen anderen Host die VM verschlüsselt bleibt. Die Sicherheitsfunktionen von virtuellen UEFIs können mit den verschlüsselten VMs gemeinsam genutzt werden, zum Beispiel Secure Boot.

Einstieg in die VM-Verschlüsselung

Verschlüsselung in VMware-Umgebungen

Funktionsweise der Verschlüsselung

Die Verschlüsselung in vSphere 6.5 verschlüsselt die Systemdateien der VMs, deren virtuelle Festplatten und die Core-Dump-Dateien. Das heißt, es werden NVRAM-, VSWP- und VMSN-Dateien verschlüsselt, genauso wie die VMDK-Dateien.

Zur Verschlüsselung wird der Schlüsselverschlüsselungsschlüssel (Key Encryption Key, KEK) verwendet, den vCenter vom KMS erhält. vCenter speichert die Schlüssel-ID und gibt die ID an den ESXi-Host weiter.

Der ESXi-Host generiert interne Schlüssel (DEKs) für die virtuelle Maschine und deren Festplatten. Dieser Schlüssel wird im Arbeitsspeicher ab und verwendet die KEKs zum Verschlüsseln der internen Schlüssel den KEK. Der ESXi-Host verschlüsselt die virtuelle Maschine mit dem verschlüsselten internen Schlüssel.

Die Schlüssel selbst werden also nicht in vCenter gespeichert, sondern bleiben auf dem KMS. vCenter speichert nur die ID des Schlüssels. vSphere-Host erhalten Zugriff auf die ID des Schlüssels, mit dem die jeweilige VM verschlüsselt wurde.

Der KEK ist auf den ESXi-Hosts im Arbeitsspeicher abgelegt, allerdings nicht auf der Festplatte. Nur vCenter verfügt über die Anmeldedaten für die Verbindung zum KMS. Die ESXi-Hosts kommunizieren nicht mit dem KMS, sondern nur mit vCenter im Netzwerk. Startet ein Host neu, fordert vCenter den KEK mit der entsprechenden ID beim KMS an und stellt ihn für den entsprechenden vSphere-Host bereit.

KMS zur Umgebung hinzufügen

Für die Verschlüsselung von VMs wird zunächst der KMS über „Konfigurieren“ in vCenter integriert. Der Menüpunkt steht nach einem Klick zur Verfügung, wenn auf den vCenter-Server in der globalen Bestandsliste geklickt wird. Mit „KMS hinzufügen“ erfolgt zunächst die generelle Anbindung eines KMS an die Umgebung. Der KMS muss in diesem Schritt natürlich bereits im Einsatz sein.

Wenn nach der Verbindung von vCenter mit KMS eine VM verschlüsselt wird, ruft vCenter die notwendigen Schlüssel automatisch vom KMS ab. Zur Verschlüsselung wird eine neue Speicherrichtlinie erstellt mit der die Verschlüsselung konfiguriert wird. Über das Kontextmenü von VMs steht dazu der Menüpunkt „VM-Richtlinien“ zur Verfügung. Über „VM-Speicherrichtlinien bearbeiten“ wird bei „VM-Speicherrichtlinie“ der Menüpunkt „VM Encryption Policy“ aufgerufen.

Über „Gemeinsame Regeln für von Hosts zur Verfügung gestellte Dateidienste“ kann mit „Komponente hinzufügen“ die Verschlüsselung hinzugefügt werden.

Hostverschlüsselungsmodus aktivieren

Für die Verwendung der Verschlüsselung muss auf den ESXi-Hosts noch der Hostverschlüsselungsmodus aktiviert werden. Die Einstellungen werden über vCenter vorgenommen. Über „Konfigurieren“ steht der Bereich „System\Sicherheitsprofil“ zur Verfügung. Bei „Hostverschlüsselungsmodus“ wird über einen Klick auf „Bearbeiten“ die Funktion aktiviert oder deaktiviert.

Backup mit PowerCLI, Skripts und PowerShell

VMs in ESXi/vSphere mit kostenlosem Skript sichern

Verschlüsselte VMs erstellen

Zum Erstellen von VMs wird der herkömmliche Assistent zum Erstellen von neuen VMs genutzt. Auf der Seite „Speicher auswählen“ wird bei „VM-Speicherrichtlinie“ die Richtlinie „“VM Encryption Policy“ ausgewählt.

Beim Erstellen einer verschlüsselten VM werden automatisch alle virtuellen Festplatten der VM verschlüsselt. Wenn einer verschlüsselten VM weitere virtuelle Festplatten hinzugefügt werden, dann werden auch diese verschlüsselt. Verschlüsselte, virtuelle Festplatten können nicht zu einer unverschlüsselten VM hinzugefügt werden. Verschlüsselte VMs können allerdings auf unverschlüsselte, virtuelle Festplatten zugreifen.

In den Eigenschaften von VMs steht über den Menüpunkt „VM-Optionen“ im Bereich „Verschlüsselung“ auch die verschlüsselte Übertragung der VM mit vMotion zur Verfügung. Sollten unverschlüsselte VMs verschlüsselt werden, muss in den Einstellungen der VM für die entsprechenden Komponenten die Speicherrichtlinie geändert werden.

Berechtigungen zur Verschlüsselung

In vielen Umgebungen ist es aber nicht unbedingt erwünscht, dass Administratoren der Umgebung auch die Verschlüsselung steuern können, vor allem wenn es um die Entschlüsselung von VMs geht. Daher kann die Verschlüsselung mit der Rolle „Kein Kryptografie-Administrator“ durchgeführt werden.

(ID:47333689)