ESXiでスワップファイルを無効にする方法は？
ESXiでいくつかのSolaris/Linux VMを実行していますが、非常に機密性の高い暗号化データが含まれており、最終的にメモリ内で必要に応じて復号化されます。
復号化されたデータの一部を格納する可能性のあるESXiスワップファイルを除いて、すべてが問題ありません。ホストクラッシュの場合にこれらのファイルが削除されないということは、ケーキの一番上にあります。
これらのファイルを完全に無効にする方法はありますか？
割り当てられたRAM全体をVMにVMごとに予約しましたが、ファイルはまだ作成されています。
ホスト全体または一部のVMに対してのみESXiスワッピングを完全に無効にするにはどうすればよいですか？
これは興味深い質問です。ハイパーバイザーレベルでのデータセキュリティについて考えたことはありません...通常、セキュリティポリシーとセキュリティ強化は、OS固有のタスク（デーモン、ポートの制限、コアファイルの無効化、ファイルシステムのマウントオプションなど）を中心に展開します。
しかし、いくつかの クイックリサーチ （およびアクティブなVMWare .vswpファイルに対してstringsを実行）の後に、VMWareデータストアにある.vswpファイルからデータを抽出することが確実に可能であることを示しています。この link は、そのようなファイルのライフサイクルを説明するのに役立ちます。
あなたの場合、あなたのアプローチはセキュリティポリシーと要件によって決まると思います。私のファイナンスおよび監査の経験では、受け入れられているアプローチはホストサーバーへのアクセスを制限/保護することだと思います。デフォルトでは、ESXiホストではSSHまたはコンソールアクセスが有効になっていないことを思い出してください。これらの機能を有効にすると、vCenterで 手動で上書き する必要があるイベント/アラートがスローされるため、この情報へのアクセスを制御するには、アクセスの監査が最善の方法であると想定されます。
サーバーに誰がアクセスできるかについて懸念がある場合は、管理上の問題に対する技術的な解決策がない可能性があります。ただし、他のソースを調べて、.vswpファイルの使用を制限する方法があるかどうかを確認します。
-編集-
すべてのゲストRAMを予約できます。使用しているVMWareのバージョンを指定していませんが、私の5.1インストールでは、すべてのゲストメモリを予約するオプションがあります。このオプションを有効にすると、RAMに割り当てられたサイズに等しいファイルではなく、zero-length.vswpファイルが作成されます仮想マシン。vmx-*。vswpファイルに注意しないでください これはESXi 5.xの新機能です 、それはに関連していない- ゲストのオペレーティングシステムのメモリ負荷 （VMXプロセスヒープ、ゲストペリフェラル、管理エージェント用です。さらに、sched.swap.vmxSwapEnabledをFALSE。
これはあなたが求めているものをあなたに与えると思います。
メモリ予約なし（デフォルト）：
root@deore:/volumes/vol2/staging/Test_Bed# ls -al | grep vswp
-rw------- 1 nfs nobody 3221225472 Dec 23 13:31 Test_Bed-ad493981.vswp
-rw------- 1 nfs nobody 115343360 Dec 23 13:31 vmx-Test_Bed-2907257217-1.vswp
メモリ予約がロックインされている場合：
root@deore:/volumes/vol2/staging/Test_Bed# ls -al | grep vswp
-rw------- 1 nfs nobody 0 Dec 23 13:38 Test_Bed-ad493981.vswp
-rw------- 1 nfs nobody 115343360 Dec 23 13:38 vmx-Test_Bed-2907257217-1.vswp
問題を間違って解決しようとしているようです。マシンのスワッピングを停止しようとしても、機密データがディスクに保存されないという保証はありません。コアダンプなどはどうですか？機密データを含むシステムに含まれている書き込み可能なデバイスを取得したら、そのデバイスは「クリーン」とは見なされず、使用が終わったら破棄する必要があります。
データの機密性が高い場合は、システムを物理的に保護する必要があります。システムへのアクセスを必要とするすべての人は、適切かつ具体的にそのための承認を受ける必要があります。彼らの活動は承認され、記録され、監督される必要があります。
記述したシナリオ は簡単に管理できます。データの機密性に見合った機密データを含むデバイスを破棄する手順が必要です。デバイスが適切な機関によって署名され、その時点で問題が発生しない限り、デバイスを安全な環境から外に出さないでください。
ESXiが作成する仮想マシンのスワップファイルを暗号化するだけで十分です。試してみてください データストアにスワップファイルを置く 暗号化SANまたは自己暗号化ディスクなど）。