CloudSimple プライベートクラウドの vSAN 暗号化の構成

[アーティクル]
08/19/2019

CloudSimple プライベートクラウドが、Azure 仮想ネットワーク内で実行されているキー管理サーバーと連携できるように、vSAN ソフトウェア暗号化機能を構成できます。

VMware では、vSAN 暗号化を使用する場合、KMIP 1.1 に準拠した外部のサードパーティキー管理サーバー (KMS) ツールを使用する必要があります。 VMware によって認定され、Azure で利用可能な、サポートされている KMS を利用できます。

このガイドでは、Azure 仮想ネットワークで実行されている HyTrust KeyControl KMS を使用する方法について説明します。 vSAN 用のその他の認定サードパーティ KMS ソリューションにも同様のアプローチを使用できます。

この KMS ソリューションでは、次のことを行う必要があります。

Azure 仮想ネットワークで VMware 認定サードパーティ KMS ツールをインストール、構成、管理する。
KMS ツールの自分のライセンスを提供する。
Azure 仮想ネットワークで実行されているサードパーティ KMS ツールを使用して、プライベートクラウドで vSAN 暗号化を構成および管理する。

KMS のデプロイシナリオ

KMS サーバークラスターは、Azure 仮想ネットワーク内で実行され、構成済みの Azure ExpressRoute 接続を介してプライベートクラウド vCenter から IP 接続可能です。

../media/KMS クラスター (Azure 仮想ネットワーク内)

ソリューションをデプロイする方法

デプロイプロセスは、次の手順で行います。

前提条件が満たされていることを確認する
CloudSimple ポータル: ExpressRoute のピアリング情報を取得する
Azure portal: 仮想ネットワークをプライベートクラウドに接続する
Azure portal: 仮想ネットワークに HyTrust KeyControl クラスターをデプロイする
HyTrust WebUI: KMIP サーバーを構成する
vCenter UI: Azure 仮想ネットワーク内の KMS クラスターを使用するように vSAN 暗号化を構成する

前提条件が満たされていることを確認する

デプロイの前に、次のことを確認します。

選択した KMS ベンダー、ツール、バージョンが、vSAN 互換性リストに存在する。
選択したベンダーが、Azure で実行するツールのバージョンをサポートしている。
Azure バージョンの KMS ツールが KMIP 1.1 に準拠している。
Azure Resource Manager と仮想ネットワークが既に作成されている。
CloudSimple プライベートクラウドが既に作成されている。

CloudSimple ポータル: ExpressRoute のピアリング情報を取得する

セットアップを続行するには、ExpressRoute の承認キーとピア回線 URI、および Azure サブスクリプションへのアクセスが必要です。この情報は、CloudSimple ポータルの仮想ネットワーク接続に関するページで確認できます。手順については、プライベートクラウドへの仮想ネットワーク接続の設定に関する記事を参照してください。情報の取得に問題がある場合は、サポートリクエストを開いてください。

Azure portal: 仮想ネットワークをプライベートクラウドに接続する

「Azure portal を使用して ExpressRoute の仮想ネットワークゲートウェイを構成する」の手順に従って、仮想ネットワークの仮想ネットワークゲートウェイを作成します。
「ポータルを使用して仮想ネットワークを ExpressRoute 回線に接続する」の手順に従って、仮想ネットワークを CloudSimple ExpressRoute 回線にリンクします。
CloudSimple からのウェルカムメールで受信した CloudSimple ExpressRoute 回線情報を使用して、仮想ネットワークを Azure 内の CloudSimple ExpressRoute 回線にリンクします。
認証キーとピア回線 URI を入力し、接続に名前を付けて、[OK] をクリックします。

仮想ネットワークの作成時に CS ピア回線 URI を指定する

Azure portal: 仮想ネットワーク内の Azure Resource Manager に HyTrust KeyControl クラスターをデプロイする

仮想ネットワーク内の Azure Resource Manager に HyTrust KeyControl クラスターをデプロイするには、以下のタスクを実行します。詳細については、HyTrust のドキュメントを参照してください。

HyTrust のドキュメントに記載されている手順に従って、指定された受信規則で Azure ネットワークセキュリティグループ (nsg-hytrust) を作成します。
Azure で SSH キーの組を生成します。
Azure Marketplace のイメージから最初の KeyControl ノードをデプロイします。生成されたキーの組の公開キーを使用し、KeyControl ノードのネットワークセキュリティグループとして nsg-hytrust を選択します。
KeyControl のプライベート IP アドレスを静的 IP アドレスに変換します。
そのパブリック IP アドレスと、前述したキーの組の秘密キーを使用して、KeyControl VM に SSH 接続します。
SSH シェルで確認を求められたら、No を選択して、そのノードを最初の KeyControl ノードとして設定します。
この手順の手順 3 から 5 を繰り返し、既存のクラスターへの追加に関して確認を求められたら、Yes を選択して、KeyControl ノードをさらに追加します。