KMS pour VMware on OVHcloud - Configuration du chiffrement de VM

.

Via l'espace client OVHcloud

Afin d'accéder au KMS OVHcloud, connectez-vous à votre espace client OVHcloud, puis rendez-vous dans la partie Hosted Private Cloud. Dans la colonne de gauche, cliquez sur Identité, Sécurité & Opération, puis sur Key Management Service.

Pour commander un nouveau serveur KMS, cliquez sur le bouton Commander un KMS, puis Sélectionnez une région.

Les clés de chiffrement et certificats d’accès de ce KMS seront stockés dans la région indiquée. Ils pourront être utilisés dans tous les produits OVHcloud sans distinction de région.

Une fois votre choix fait, cliquez sur le bouton Commander.

Enfin, cliquez sur Terminer pour finaliser la commande.

Une fois votre commande validée, vous retrouverez avec votre KMS, le Nom, l'ID et la Région.

Copiez votre "ID" OKMS.

L'ID ressemble à un UUID classique. Il vous sera utile par la suite pour :

• Lister vos ressources OKMS.
• Lister toutes les informations d'accès (credentialId).
• Générer le "credentialId" avec votre CSR (le credentialId étant l'ID de la preuve de signature de votre CSR, votre demande de nouvelles informations d'identification d'accès).
• Lister toutes les clés OKMS.

Vous pouvez consulter le tableau ci-dessus.

Paramètres :

• okmsId : l'ID de votre KMS OVHcloud (OKMS).

Nous verrons dans l'étape 3 comment effectuer ces requêtes.

Voici une vue globale de votre commande KMS pour votre environnement HPC VMware vSphere managé OVHcloud.

Vous pouvez copier-coller toutes les informations utiles pour lancer les appels API (IP, URN, KMIP etc..).

Via les API OVHcloud

Pour lister vos commandes KMS OVHcloud, utilisez l'appel API suivant :

Paramètres :

• okmsId : l'ID de votre KMS OVHcloud (Okms).

Exemple de retour :

[
  {
    "id": "Null",
    "region": "EU_WEST_RBX",
    "kmipEndpoint": "eu-west-rbx.okms.ovh.net:5696"
    "kmipRsaEndpoint": "eu-west-rbx.okms.ovh.net:5697",
    "restEndpoint": "https://eu-west-rbx.okms.ovh.net",
    "swaggerEndpoint": "https://swagger-eu-west-rbx.okms.ovh.net",
    "iam": {
      "displayName": "Null",
      "id": "Null",
      "urn": "urn:v1:eu:resource:okms:Null"
    }
  }
]

Vous disposez désormais d'un serveur KMS OVHcloud à mettre en place au sein de votre environnement HPC VMware on OVHcloud.

Pour valider le KMS OVHcloud (OKMS) avec Hosted Private Cloud VMware on OVHcloud, créez une règle d'ouverture de flux entrant (pare-feu) au sein de votre gateway HPC VMware vSphere on OVHcloud.

Cette étape doit être réalisée immédiatement après commande de votre KMS (OVHcloud) et avant l'ajout du KMS à l'interface web VMware vSphere managé.

Via l'espace client OVHcloud

Ouverture des flux (obligatoire) :

Pour créer ou Importer un service de gestion de clé KMS, connectez-vous à votre espace client OVHcloud, puis rendez-vous dans la partie Hosted Private Cloud. Dans la colonne de gauche, cliquez sur VMware, puis sélectionnez votre PCC concerné. Sur la page qui s'affiche, cliquez sur l'onglet Sécurité.

Rendez-vous ensuite plus bas dans la section Virtual Machine Encryption Key Management Servers.

L'ajout du KMS depuis l'espace client doit être réalisé en immédiatement après l'achat et la livraison de votre KMS OVHcloud. Ceci pour permettre l'autorisation des flux au sein des pare-feux OVHcloud.

Vous pouvez ajouter votre OKMS depuis la section HPC, en cliquant sur Ajouter un nouveau serveur KMS

Dans la nouvelle fenêtre qui s'affiche, remplissez les formulaires suivants :

• IP : privilégiez l'adresse IP, car le nom de domaine ne peut pas être ajouté. Par exemple, utilisez l'adresse IP 137.74.127.152 pour la région de Strasbourg et l'adresse IP 91.134.128.102 pour la région de Roubaix.
• Description : saisissez une description pour votre OKMS.
• SSL Thumbprint : renseignez la Thumbprint SSL/TLS de votre OKMS.

Pour récupérer l'empreinte TLS, lancez la commande OpenSSL suivante (adaptez votre endpoint OKMS avec la bonne région (par exemple : eu-west-rbx/sbg) dont fait partie votre KMS OVHcloud) :

openssl s_client -connect eu-west-rbx.okms.ovh.net:5697 < /dev/null 2>/dev/null | openssl x509 -fingerprint -noout -in /dev/stdin
---
Retour:
 SHA1 Fingerprint=FE:21:E2:DE:B7:51:34:E9:9A:AB:E0:27:FF:1E:42:3A:15:9C:76:47

Pour récupérer l'IP publique du serveur KMS OVHcloud, lancez un ping. Par exemple :

ping eu-west-rbx.okms.ovh.net

Il s'agit ici de l'IP du KMS de Roubaix et de son empreinte TLS. Adaptez la commande ci-dessus en fonction de la région où se trouve votre KMS (Strasbourg par exemple).

Vérifiez bien que la confirmation de lecture : "J’ai lu et j’ai compris la documentation chiffrement de VMs et les actions que je vais devoir effectuer de mon côté" est bien cochée avant de poursuivre.

Attendez que l'ouverture des flux s'effectue et passe le statut en livré vert.

En parallèle, vérifiez vos droits au sein de IAM. En effet, pour manipuler KMS, vous aurez besoin de droits supplémentaires.

Pour cela, rendez_vous dans l'onglet Utilisateurs de votre vSphere managé HPC. Dans le tableau qui s'affiche, cliquez sur le bouton ... à droite de l'utilisateur concerné, puis sur Modifier.

Vérifiez que la gestion du chiffrement est activée.

Si vous utilisez un rôle IAM en particulier avec une politique globale au sein de votre vSphere managé HPC, activez la gestion du chiffrement pour ce rôle. S'il s'agit du rôle créé lors de l'activation d'IAM (iam-admin), celui-ci dispose de la gestion du chiffrement par défaut.

Avec votre politique, vérifiez bien que les utilisateurs, ressources, actions et les types de produits de votre HPC VMware vSphere managé on OVHcloud ont bien été ajoutés.

Exemple de politique IAM :

• Identité : local user XX -> Utilisateur local OVHcloud.
• User groups : ADMIN, XXXX-XX-XX/user_iam.
• Resources : pcc-XXX-XXX-XXX-XXX (référence de votre vSphere managé).
• Product type : iam_ressource_type_okms/kmip.
• Actions : vSphere Admin, pccVMware:apiovh:vmEncryption/kms/changeProperties, pccVMware:vSphere:assumeRole?iam-admin -> User vSphere iam-admin, okms:kmip:get, okms:apikms:serviceKey/create etc..

À titre informatif, le domain ID correspond à l'URN de votre KMS OVHcloud.

Via les API OVHcloud (optionnel)

Si vous avez déjà réalisé l'ouverture des flux depuis l'espace client, vous pouvez utiliser l'appel API suivant (facultatif).

Étape d'ouverture des flux :

Copier-coller (avec les paramètres KMS) :

{
"description": "Okms demo",
"ip": "91.134.128.102",
"sslThumbprint": "FE:21:E2:DE:B7:51:34:E9:9A:AB:E0:27:FF:1E:42:3A:15:9C:76:47"
}

Pour récupérer l'empreinte TLS du KMS, lancez la commande OpenSSL suivante en adaptant la commande à la région où se trouve votre KMS :

openssl s_client -connect eu-west-rbx.okms.ovh.net:5697 < /dev/null 2>/dev/null | openssl x509 -fingerprint -noout -in /dev/stdin
---
Retour:
 SHA1 Fingerprint=FE:21:E2:DE:B7:51:34:E9:9A:AB:E0:27:FF:1E:42:3A:15:9C:76:47

Pour récupérer l'IP publique du KMS OVHcloud, effectuez un ping en adaptant la commande à la région où se trouve votre KMS :

ping eu-west-rbx.okms.ovh.net

Pour mettre à jour votre KMS avec un KMS OVHcloud :

Paramètres :

• kmsId : saisissez l'ID de votre serveur OKMS. (Exemple : 350)
• serviceName : renseignez le nom de votre vSphere managé. Exemple : pcc-XX-XX-XX-XX.

Exemple :

{
"description": "Description test",
"sslThumbprint": "FE:21:E2:DE:B7:51:34:E9:9A:AB:E0:27:FF:1E:42:3A:15:9C:76:47"
}

Retour :

Après exécution de l'API, vous devriez retrouver en réponse le résultat suivant :

{
  "kmsId": XXX,
  "kmsTcpPort": 5697,
  "sslThumbprint": "Null",
  "description": "OKMS description",
  "state": "delivered",
  "ip": "Null"
}

Attendez (statut : updating) que l'ouverture des flux s'effectue et que le statut passe en état livré (facultatif).

Pour activer le chiffrement au sein de vSphere, vous devez disposer des droits suffisant au sein de vos ressources KMS et de votre compte OVHcloud.

Si vous n'avez pas déjà de politique IAM crée, nous allons en créer une afin de lister les étapes nécessaires.

Il faut vous connecter à votre espace client OVHcloud.

Rendez-vous dans la section Identité, Sécurité & Opérations. Cliquez sur Politiques, puis sur Créer une politique.

Ajoutez le nom de votre politique sinon vous ne pourrez pas la créer à la fin, ainsi qu'une description intelligente de votre stratégie IAM.

Dans Identités, ajoutez votre utilisateur local OVHcloud. Celui avec lequel vous avez généré le CSR depuis l'API. Pour cela, cliquez sur Ajouter un utilisateur.

Vous devez ensuite ajouter les actions afin de pouvoir générer les clés pour votre politique de chiffrement vSphere.

Cliquez dans le champ « Type de produits », puis ajoutez iam_ressource_type_okms.

Vous pouvez choisir d'ajouter toutes les actions ou filtrer plus finement selon vos besoins utilisateurs.

Pour terminer, cliquez sur Créer la politique.

Votre politique est créée, vous pouvez maintenant activer le chiffrement au sein de PCC en changeant la "stratégie VM" de vos machines virtuelles.

Si vous ne disposez d'aucune stratégie préétablie, consultez l'interface API et déterminer les IAM actions nécessaires à la politique. Si vous disposez déjà d'une politique IAM, vous pouvez la modifier et ajouter les actions indispensables.

Après avoir commandé votre OKMS, ouvert les flux au sein de votre vSphere managé OVHcloud, il ne vous reste plus qu'à configurer l'import au sein de vSphere et installer la relation de confiance entre vCenter et OKMS.

openssl s_client -connect eu-west-rbx.okms.ovh.net:443 2>/dev/null </dev/null |  sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p'

awk '{printf "%s\\n", $0}' csr.pem

{
"csr": "------BEGIN CERTIFICATE REQUEST----\nMIICvDCCAaQCAQAwdzELMAkGA1UEBhMCVVMxDTALBgNVBAgMBFV0YWgxDzANBgNV\nBAcMBkxpbmRvbjEWMBQGA1UECgwNRGlnaUNQgSW5jERMA8GA1UECIRGIRGna\nlnlxGUNGMGBUb lnaWNlcnQuY29tMIIBIjANBgkqhkiG\n9w0BAQEFAAOCAQ8AMIIBCgKCAQEA8+To7d+2kPWeBv/orU3LVbJwDrSQbeKamCmo\nwp5bqDxIwV20zqRb7APUOKYoVEFFOEQs6T6gImnIolhbiH6m4zgZ/CPvWOBkcc2c\EmctttGb ldxRthNLOs1efOhdnWFuhI162qmcflgpiI\nWDuwq4C9f+YkeJhNn9dF5+owm8cOQmDrV8NNdiTqin8q3qYAHHJRW28glJUCZkTZ\nwIaSR6crBQ8TbYNE0dc+Caa3DOIkz1EOsHWTx+n0KfqbxXxXxXxDxDxDxDxBt4 yEp82G96/Ggcf7F33xMxe0yc+Xa6owIDAQABoAAwDQYJ\nKoZIhvcNAQEFBQADggEBAB0kcrFccSmFDmxox0Ne01UIqSsDqHgL+XmHTXJwre6D\nhJSZwbvEtOK0G3+dr4Fs11WuUNLsc5Lsx6a6a6a6a6a4aMMMGyMMMMMMGyXMYQmMMYQmM T3ZoCGpIXbw+iP3lmEEXgaQL0Tx5LFl/okKbKYwIqNiyKWOMj7ZR/wxWg/\nZDGRs55xuoeLDJ/ZRFf9bI+IaCUd1YrfYcHIl3G87Av+r49YVwqRDT0VDV7uLgqn\n29XI1VUNCPQGn/e7p6PyoXoXoeaRaaQo Uqy1hvJac9QFO2\n97Ob1alpHPoZ7mWiEuJwjBPii6a9M9G30nUo39lBi1w=\n------END CERTIFICATE REQUEST-------",
"description": "My user reader credential",
"identityURNs": [
"urn:v1:eu:identity:user:<<PASTE_YOUR_NICHANDLE_HERE>>-ovh/user", //  L’utilisateur avec lequel vous vous connectez à vos ressources vSphere managé et avec lequel vous avez les droits sur les produits (HPC, OKMS) en question.
"urn:v1:eu:identity:group:<<PASTE_YOUR_NICHANDLE_HERE>>-ovh/group" // Si vous utilisez des groupes, vous pouvez les ajouter ici. Le principe étant le même qu’avec un utilisateur au sein de l’écosysteme OVHcloud.
],
"name": "user",
"validity": 365
} 

 awk '{gsub(/\\n/,"\n")}1' csr_signé.pem

Dans l'étape 6, vous accomplirez la finalisation de l'activation du chiffrement sur une machine virtuelle avec OKMS en utilisant une Politique de stockage que nous allons créer à présent.

Cette politique de stockage utilise des règles basées au niveau de l'hôte. Vous devez donc bien avoir activé Règles basées sur l'hôte puis avoir aussi activé les composants de stratégie de stockage.

Pour créer une politique de stockage, il vous faut accéder au vSphere de votre PCC. Si vous avez suivi les étapes précédentes, vous devez être déjà connecté à l'espace client OVHcloud, après avoir ajouté votre KMS OVHcloud dans l'étape 4.

Vous devez maintenant aller dans Politiques et profils > Stratégies de stockage VM.

Cliquez sur CRÉER dans Stratégies de stockage VM.

La fenêtre de création de stratégie s'ouvre maintenant, vous êtes à l'étape 1 Nom et description.

Vous devez determiner votre serveur vCenter, qui est le PCC sur lequel vous voulez créer votre stratégie de stockage.

Une fois votre PCC-XXX-XXX-XXX-XXX.ovh.XX choisi, donnez un Nom et une Description.

Cliquez sur SUIVANT pour continuer.

Vous arrivez à l'étape 2, Structure de la stratégie.

Nous allons ici activer les stratégies de règles basées sur l'hôte. Cochez la case Activer les règles basées sur l'hôte.

Pour continuer, cliquez sur SUIVANT.

Pour l'étape 3, vous devez confirmer les choix de l'étape précédente en activant la validation du composant de stratégie de stockage (le chiffrement).

Pour les besoins de ce guide, nous allons laisser le réglage par défaut Default encryption properties.

Vous devez donc cliquer sur Chiffrement.

Puis utiliser le composant de stratégie de stockage Default encryption properties.

• Composant de stratégie de stockage : Default encryption properties.
• Description : Storage policy component for VM and virtual disk encryption.
• Fournisseur : Chiffrement de VM VMware.
• Autoriser les filtres d'E/S avant le chiffrement : False.

À titre informatif, ces services de données disponibles peuvent inclure le chiffrement, le contrôle d'E/S, la mise en cache, etc.. Les services basés sur l'hôte seront appliqués en complément des règles spécifiques aux banques de données.

Pour terminer l'étape 3, cliquez sur SUIVANT.

Pour l'étape 4 (compatibilité de stockage), vous avez la compatibilité et l'incompatibilité de votre centre de données (PCC) Hosted Private Cloud VMware on OVHcloud.

Quand vous avez terminé de vérifier les compatibilités de votre espace de stockage, cliquez sur SUIVANT.

Pour terminer la dernière étape (étape 5), cliquez sur TERMINER.

Votre stratégie étant créée, vous pouvez maintenance procéder à l'activation du chiffrement sur une de vos machines virtuelles.

Localisez la machine virtuelle (VM) que vous souhaitez chiffrer. Éteignez-la si elle est allumée (obligatoire).

Faites un clic droit sur la machine virtuelle sélectionnée pour afficher le menu contextuel ou cliquez sur ACTIONS.

Puis sélectionnez Stratégies de VM.

À la suite de ça, choisissez Modifier les stratégies de stockage VM.

Cela ouvrira une fenêtre ou un panneau où vous pourrez modifier les politiques de stockage de la VM sélectionnée.

Recherchez les options de chiffrement ou de sécurité dans les politiques de stockage pour activer le chiffrement KMS pour cette VM.

Si vous déployez une nouvelle VM depuis un template OVHcloud OVF, vous avez plusieurs choix pour chiffrer votre VM :

• Thick Provision Lazy Zeroed.
• Thin Provision.
• Thick Provision Eager Zeroed.

Choisissez celle qui vous convient le mieux. En cas de doute, consultez le guide « Quel format de disque choisir ».

Cochez la case Chiffrer cette VM

Après avoir apporté les modifications nécessaires, enregistrez les modifications et fermez la fenêtre.

Vous avez maintenant édité les politiques de stockage de la VM et activé le chiffrement KMS pour votre serveur. Un petit cadenas sur le résumé des informations de votre machine virtuelle le confirme.

Le même cadenas est aussi présent dans la vue générale de votre VM ainsi que dans la description du chiffrement, ce qui confirme que votre politique fonctionne avec le serveur OKMS et que le chiffrement est activé.