・暗号化状況を一元管理したい。 ・パブリッククラウド上のマシンを暗号化したい。 ・vSphere 6.5標準の暗号化機能を使用したい。 これらの要望はございませんか。 本セミナーでは、「HyTrust DataControl」というソフトウェアをご紹介させていただきます。 HyTrust DataControlは マシンに直接エージェントを導入し、暗号化を実行するDataControlエージェントと、KMIPに完全準拠し、VMwareから認定を受けている暗号鍵管理サーバ(KMS)であるKeyControlから構成されています。 AWSやAzureなどのパブリッククラウド環境であれば、DataControlエージェントを展開することで、強力な暗号化をクラウド上でも展開できます。 そして、vSphere 6.5以降の仮想環境であれば、ハイパーバイザーが提供する暗号化機能をHyTrust KeyControlと連携することで、エージェントレスに暗号化を実現できます。 本セミナーではHyTrust DataControlの概要や特徴を、製品デモを交えてご紹介します。 https://www.climb.co.jp/soft/webseminar/2020/0804/

2. 株式会社クライム
• 弊社製品サイト(HyTrust)
https://www.climb.co.jp/soft/hytrust/
• お問い合わせ
東京：03-3660-9336
大阪：06-6147-8201
https://www.climb.co.jp/soft/contact/contact.php 2
• 主な事業内容
ソフトウェアの販売とサポート
海外ソフトウェアの日本語対応

3. HyTrustについて
・開発元
カリフォルニア州 マウンテンビュー
・Best of VMworldなど
数多くのアワードを受賞
・2つのソフトウェアによる
セキュリティソリューション

4. 対応するセキュリティ認証

5. データ暗号化なら・・・

6. HyTrust DataControlとは
・エージェントによる様々な環境の暗号化
・仮想、クラウド、エンタープライズな環境まで

7. HyTrust DataControlによる暗号化
・ポリシーエージェントによる暗号化
・KeyControlサーバがキー管理を実施
暗号化単位
・各ドライブ
・ブートファイル
・ルート
・データパーティション
・ファイル、オブジェクト

8. ポリシーによる制御
• エージェント側からの復号許可やアンインストール許可も制御
• マシンの構成変更や再起動を検知し、
暗号化ディスクやフォルダを閲覧不可に

9. HyTrust DataControlによる暗号化
・ポリシーエージェントによる暗号化
・KeyControlサーバがキー管理を実施
暗号化単位
・各ドライブ
・ブートファイル
・ルート
・データパーティション
・ファイル、オブジェクト

10. HyTrust KeyControlとは
• Key Management Server(KMS)として動作
VMware認定KMSの1つ

11. Confidential and ProprietaryVMware暗号化
vSAN暗号化
vTPM
VMware認定KMS

12. HyTrust KeyControlとは
• Key Management Server(KMS)として動作
VMware認定KMSの1つ
• 暗号化キーの管理に特化した仮想アプライアンス
VMware標準暗号化やvSAN暗号化、vTPMのサポート

13. HyTrust KeyControlとは
• Key Management Server(KMS)として動作
VMware認定KMSの1つ
• 暗号化キーの管理に特化した仮想アプライアンス
VMware標準暗号化やvSAN暗号化、vTPMのサポート
• 約10分でOVFテンプレートからデプロイ、すぐに使用可能
別途Windows OSは不要

14. 簡単にデプロイ可能
• OSの準備がなくとも、OVFテンプレートからデプロイ
• 必要リソース：2CPU、8GB RAM、60GB Disk

15. HyTrust KeyControlとは
• Key Management Server(KMS)として動作
VMware認定KMSの1つ
• 暗号化キーの管理に特化した仮想アプライアンス
VMware標準暗号化やvSAN暗号化、vTPMのサポート
• 約10分でOVFテンプレートからデプロイ、すぐに使用可能
別途Windows OSは不要
• HyTrust組み込み機能でクラスタ構成可能

16. KeyControlサーバのクラスタ構成
• HyTrust側の機能を使用
• 共有ストレージ不要
• いずれかのノードが生きていれば、リクエストに対応可
KeyControl KeyControl
Local
HyTrustの機能で
クラスタリング

17. vSphere暗号化、vSAN暗号化の事前準備
HyTrust: HyTrust KeyControlを
仮想環境へデプロイ
証明書の発行
01.
VMware: 暗号化を行いたい
vCenterにKeyControlを登録
02.
VMware: vSphere Web Client
からvSphere暗号化、vSAN
暗号化をチェック
03.
STEP 1 STEP 2
STEP 3

18. ESX Host
VM 暗号化モジュール
VM
Datastore
VMDK
- KEK id
DEK
コンテンツ
vSphereネイティブ暗号化のアーキテクチャ
Confidential and Proprietary
KeyControl
KMIP
Object Store
KEK Id
KEK
vCenter
暗号化ポリシー
KMS List
HyTrust
KEK = Key Encryption Key
DEK = Data Encryption Key
KMIP = Key Management Interface Protocol
BLUE = HyTrust コンポーネント ORANGE = VMware/Customer コンポーネント
1. 管理者が暗号化ポリシーを作成し、VMへ適用
2. vCenterがHyTrust KeyControlにKEKをリクエスト
3. vCneterのDEKは、HyTrust KeyControlのKEKによって暗号化

19. VMware vSAN暗号化のアーキテクチャ
Confidential and Proprietary
コンテンツ
KeyControl
KEK Id
KEK
vCenter
暗号化ポリシー
KMS List
HyTrust
KEK = Key Encryption Key
DEK = Data Encryption Key
KMIP = Key Management Interface Protocol
BLUE = HyTrust コンポーネント ORANGE = VMware/Customer コンポーネント
vSAN Datastore
DEK DEK DEK
KMIP
Object Store
1. 管理者がvSAN暗号化を有効にする
2. vCenterがHyTrust KeyControlにKEKをリクエスト
3. vCenterのDEKは、HyTrust KeyControlのKEKによって暗号化
4. vSAN再起動時に、ESXiホストがHyTrust KeyControlへKEKリク
エスト