今月は1日1回くらい、さまざまな ネステッド vSAN 6.7 U1 を構成してみています。
一連の投稿へのリンクは下記をどうぞ。
昨日はこちら。
ネステッド vSAN 6.7 U1 を楽しむ。2018-12-20
21日目は、vSAN データストアの暗号化です。
vSAN-Cluster-20181221 クラスタ
- ESXi は 3ノード
- ハイブリッド ディスクグループ（データストアを暗号化）
- 鍵管理サーバ（KMS）を vSAN データストア外に配置。
- vCenter は vSAN 外部に配置
暗号化された vSAN データストアの様子。
ディスクのデータ暗号化をするソリューションでは、一般的に、鍵管理サーバ（KMS）を必要とします。
Using Encryption on a vSAN Cluster
KMS は暗号化対象の外に配置する必要があるため、
今回はネスト外側の、物理 ESXi ホストの VM で KMS サービスを起動しています。
KMS は、自宅ラボ系の暗号化動作確認で頻繁に利用される、
William Lam さんが用意している OpenKMS の Docker コンテナを利用しています。
ちなみに、
今年の（日本の）vExperts Advent Calendar 2018 でも 12/4 の投稿で紹介されています。
https://adventar.org/calendars/3101#list-2018-12-04
vSAN クラスタで、暗号化が有効になっています。
vSAN での暗号化は、データストア全体に作用します。（vSAN オブジェクト単位ではなく）
Image may be NSFW.
Clik here to view.
vSAN の暗号化を有効化する前に、vCenter に鍵管理サーバ（KMS）を登録しておきます。
Image may be NSFW.
Clik here to view.
KMS は、必ず vSAN データストアの外部に配置します。
Image may be NSFW.
Clik here to view.
vSAN の健全性確認では、KMS との接続性の確認ができます。
vCenter と KMS のステータスです。
Image may be NSFW.
Clik here to view.
ESXi と KMS のステータスです。
Image may be NSFW.
Clik here to view.
KMS を停止した場合の影響を見てみる。
KMS の疑似障害として、KMS のサービスを起動している VM の vNIC を切断してみます。
Image may be NSFW.
Clik here to view.
KMS への接続はできなくなりますが、vSAN 上では VM が起動したままです。
Image may be NSFW.
Clik here to view.
メンテナンスモードにして、ESXi を再起動してみます。
まず、メンテナンスモードにします。
Image may be NSFW.
Clik here to view.
そして、ESXi をシャットダウンします。
Image may be NSFW.
Clik here to view.
ESXi が起動時に KMS にアクセスできない状態だと、
そのホストでは暗号化が有効化できなくなってしまいます。
Image may be NSFW.
Clik here to view.
この ESXi は暗号化モードになれず、ディスクへのアクセスが不可になっています。
Image may be NSFW.
Clik here to view.
vSAN 上の VM のデータ（vSAN オブジェクト）も、
ESXi ホスト 1台がローカル ディスクにアクセスできないため、可用性が低下した状態です。
まだ再起動していない ESXi が十分な台数あるため、VM のデータにはアクセス可能な状態です。
Image may be NSFW.
Clik here to view.
しかし、まだ暗号化が有効なホストが十分数のこっているため、
vSAN オブジェクトへのアクセスはできます。
そのためディスク暗号化が有効化できなくなった ESXi ホストでも、VM を起動させることは可能です。
ただし、この ESXi のローカル ディスクにアクセスできるようにするためには、
KMS を復旧する必要があります。
Image may be NSFW.
Clik here to view.
ちなみに、KMS と vCenter / ESXi の接続ができない場合は、vSAN の健全性チェックでも検知されます。
vCenter と KMS のステータスです。
Image may be NSFW.
Clik here to view.
ESXi と KMS のステータスです。
Image may be NSFW.
Clik here to view.
ネスト環境での vSAN データストア暗号化については、パフォーマンス検証には利用できませんが、
今回のように KMS やホスト障害などにかかわる挙動確認で有用かなと思います。
つづく。