就像電影《碟中諜》中湯姆·克魯斯?jié)撊胫星榫痔m利總部復制情報一樣，如果有人潛入企業(yè)數(shù)據(jù)中心把虛擬機文件拷走怎么辦？別擔心，vSphere 6.5 推出了虛擬機加密功能，來滿足數(shù)據(jù)中心不斷提高的安全需求。
虛機加密工作原理
vSphere 采用對稱加密算法 XTS-AES-256 來對虛機進行加密，對虛機文件和加密密鑰一起經(jīng)過特殊加密算法處理后，使其變成復雜的加密數(shù)據(jù)。高級加密標準 AES （Advanced Encryption Standard） 是美國聯(lián)邦政府采用的一種區(qū)塊加密標準。XTS-AES 算法是 2008 年發(fā)布的，是目前數(shù)據(jù)存儲領(lǐng)域廣泛使用的一種加密算法。AES 加密密鑰長度可以是128比特、192比特、256比特中的任意一個，密鑰長度越長越難破解，XTS-AES-256 采用的是256比特長度密鑰。
虛機加密是通過 ESXi 內(nèi)核完成的，為了優(yōu)化性能，ESXi 會調(diào)用 CPU 的 AES-NI （Advanced Encryption Standard - New Instruction） 指令集，通過硬件來加速加密算法，Intel 的 CPU 從 Westmere 開始就全面支持 ASE-NI 指令集。
對一個虛機進行加密是通過修改存儲策略來完成的，虛機本身不需要做任何修改和配置。管理員可以很方便地把一個現(xiàn)有的虛機進行加密，或者是把已經(jīng)加密的虛機改成不加密的。
密鑰管理
對稱加密算法 XTS-AES-256 需要兩個密鑰：
- 數(shù)據(jù)密鑰 DEK （Data Encryption Key）：用于加密虛機數(shù)據(jù)文件，每個虛機都有一個唯一的數(shù)據(jù)密鑰，存放在虛機數(shù)據(jù)文件中，為了不讓別人看到這個密鑰，所以我們需要另一個密鑰 KEK 來對數(shù)據(jù)密鑰進行加密。
- 加密密鑰的密鑰 KEK （Key Encryption Key）：用于對上面的數(shù)據(jù)密鑰 DEK 進行加密，這個密鑰是從第三方的密鑰管理服務器 KMS （Key Management Server） 上獲得的。因為 KMS 也支持多租戶架構(gòu)，我們通常把這個密鑰稱為租戶密鑰（Tenant Key）。注意：租戶密鑰只保存在 KMS 服務器上。
vSphere 在虛擬機加密和解密過程中對于密鑰的管理流程是這樣的：
未加密虛機（必須是處于關(guān)機狀態(tài)）
- 在對應的服務器上隨機生成一個數(shù)據(jù)密鑰 DEK；
- 通過 vCenter 從 KMS 上獲得租戶密鑰 KEK；
- 使用租戶密鑰 KEK 對數(shù)據(jù)密鑰 DEK 進行加密，并寫入虛機的 vmx 文件；
- 使用數(shù)據(jù)密鑰 DEK 來加密整個虛機數(shù)據(jù)文件。
- 從虛機的 vmx 文件中獲得 KEK ID 和加密的數(shù)據(jù)密鑰
- 通過 vCenter 從第三方密鑰服務器上根據(jù) KEK ID 獲得租戶密鑰 KEK
- 利用 KEK 解密獲得數(shù)據(jù)密鑰 DEK
- 利用數(shù)據(jù)密鑰 DEK 來解密虛機數(shù)據(jù)文件。
下面就是一個存放在 vmx 文件中的數(shù)據(jù)密鑰例子，其中 encryption.keySafe 那一行是 KEY ID，下一行 encryption.data 是被加密的數(shù)據(jù)密鑰的數(shù)據(jù)部分。
指定第三方 KMS 服務器
vSphere 虛機加密采用的是客戶自帶密鑰（Bring-Your-Own-Key）的策略，有這方面要求的客戶大部分都已經(jīng)部署了密鑰管理服務器，我們只需要在 vCenter 中指定客戶現(xiàn)有的 KMS 服務器就可以了。當然必須要考慮 KMS 服務器高可靠和災備的方案，不然一旦發(fā)生故障，取不到 KEK 密鑰，所有的加密虛機可就啟動不起來了。
理論上，凡是兼容 KMIP （Key Management Interoperability Protocol） 1.1 的 KMS 服務器都可以接入 vCenter，以下是 vSphere 6.5 支持的部分 KMS 廠商。
加密的 vMotion
虛機加密了，自然引入了一個新的概念 － “加密的 vMotion”，虛機數(shù)據(jù)不但在存儲里面是加密的，而且在 vMotion 的過程中也是加密的。vCenter 中關(guān)于虛機的配置也多了一個加密的 vMotion 選項，總共有三個選擇：- Disabled（關(guān)閉）：vMotion 所傳輸?shù)奶摍C數(shù)據(jù)不加密。
- Opportunistic（看情況）：如果源和目標服務器都支持虛機加密，就使用加密 vMotion；只要有一方不支持，vMotion 就不采用加密數(shù)據(jù)。
- Required（強制要求）：僅允許加密的 vMotion，源和目標服務器只要有一方不支持虛機加密，vMotion 就不會發(fā)生，這適用于高安全循規(guī)要求。
