Scénario : Déployer des hôtes Service Guardian et des machines virtuelles protégées dans VMM

Cet article fournit une vue d’ensemble du déploiement de machines virtuelles protégées et d’hôtes Service Guardian Hyper-V dans une infrastructure de calcul System Center - Virtual Machine Manager (VMM).

Les infrastructures protégées renforcent la protection des machines virtuelles pour éviter la falsification et le vol de données perpétrés par les logiciels et administrateurs malveillants. Si vous êtes un fournisseur de services cloud ou administrateur de cloud privé, vous pouvez déployer une infrastructure protégée. Ce type d’infrastructure comporte généralement un serveur exécutant le Service Guardian hôte (SGH), un ou plusieurs serveurs hôtes Service Guardian Hyper-V, et une ou plusieurs machines virtuelles protégées exécutées sur ces hôtes. En savoir plus sur les infrastructures protégées.

Pourquoi dois-je protéger les machines virtuelles ?

Une machine virtuelle contient des données et des configurations sensibles que son propriétaire peut souhaiter ne pas communiquer à un administrateur d’infrastructure. Toutefois, toutes les données des machines virtuelles étant stockées dans des fichiers, elles peuvent être facilement copiées et inspectées par des programmes ou administrateurs malveillants.

Les machines virtuelles dotées d’une protection maximale dans Windows Server permettent d’empêcher de telles attaques en attestant rigoureusement l’intégrité d’un hôte Hyper-V avant de démarrer une machine virtuelle, en veillant à ce que la machine virtuelle ne puisse être démarrée que dans des centres de données autorisés par le propriétaire de la machine virtuelle et en permettant au système d’exploitation invité de chiffrer ses propres données à l’aide d’un nouveau module de plateforme sécurisée virtuel. Quand le propriétaire d’une machine virtuelle crée une machine virtuelle qu’il veut sécuriser, il a le choix entre les deux types de protection suivants :

• Chiffrement pris en charge : idéal pour les scénarios de cloud privé en entreprise qui nécessitent le chiffrement des données au repos et en cours d’utilisation, mais où les administrateurs d’infrastructure sont approuvés. La console de la machine virtuelle et d’autres fonctionnalités de gestion restent accessibles aux administrateurs d’infrastructure.
• Protégé : option de déploiement la plus sécurisée qui empêche les administrateurs d’infrastructure de se connecter à la console de la machine virtuelle ou de modifier des aspects de sécurité de la configuration de la machine virtuelle. Les propriétaires de la machine virtuelle peuvent uniquement y accéder au moyen d’outils de gestion à distance qu’ils choisissent d’activer. Cette option est recommandée pour les clients exécutant des charges de travail sensibles sur l’infrastructure publique ou partagée.

Gestion d’une infrastructure protégée avec VMM

L’infrastructure de base protégée (composée d’un ou de plusieurs hôtes Hyper-V protégés, du service Guardian hôte et des artefacts nécessaires pour créer des machines virtuelles dotées d’une protection maximale) est incluse avec la version de Windows Server applicable et doit être configurée conformément à la documentation de l’infrastructure protégée. Une fois l’infrastructure configurée, vous pouvez utiliser System Center - Virtual Machine Manager pour simplifier la gestion de l’infrastructure protégée.

Vous pouvez utiliser VMM pour :

• Approvisionner et gérer des hôtes Service Guardian dans l’infrastructure VMM : vous pouvez ajouter des hôtes Service Guardian à l’infrastructure VMM et les gérer. Un hôte Service Guardian est un serveur Hyper-V avec les caractéristiques suivantes :
  • Il répond aux prérequis pour les hôtes Service Guardian.
  • Il est autorisé par le Service Guardian hôte de l’infrastructure à exécuter des machines virtuelles protégées. L’administrateur SGH détermine la configuration exigée des hôtes pour pouvoir attester de leur intégrité et les configurer comme hôtes Service Guardian.
  • Il est marqué comme protégé dans VMM en le configurant pour utiliser les mêmes URL SGH que celles spécifiées dans les paramètres VMM globaux.
• Configurer un disque dur virtuel protégé et éventuellement un modèle de machine virtuelle : les disques de modèle signés (VHDX) utilisés pour déployer de nouvelles machines virtuelles protégées peuvent être stockées dans la bibliothèque VMM pour faciliter leur déploiement. Vous pouvez ensuite utiliser ce VHDX dans un modèle de machine virtuelle.
• Approvisionner et gérer des machines virtuelles protégées : VMM prend en charge le cycle de vie complet des machines virtuelles protégées. notamment :
  • Création de nouvelles machines virtuelles protégées à partir d’un disque de modèle signé (VHDX) et utilisation éventuelle d’un modèle de machine virtuelle.
  • Conversion des machines virtuelles existantes en machines virtuelles dotées d’une protection maximale.

Étapes suivantes

• Configuration d’hôte Service Guardian dans l’infrastructure VMM