VMware · 30 octobre 2026 · Cyber & GRC
Informatique confidentielle : protéger les secrets des charges de travail
VMware décrit la prise en charge des machines virtuelles confidentielles par VMware Cloud Foundation (VCF) sur des processeurs AMD et Intel. Leur mémoire est chiffrée et isolée de l'hyperviseur grâce à des clés gérées par le processeur. Cette protection empêche notamment un administrateur d'un hôte ESX de lire cette mémoire en clair via l'hyperviseur.
Ce qui est annoncé
VMware présente la protection des données pendant leur traitement avec les machines virtuelles confidentielles prises en charge par VMware Cloud Foundation (VCF). Le principe consiste à chiffrer et isoler leur mémoire grâce aux fonctions des processeurs, sans confier les clés à l’hyperviseur. Un administrateur de l’hôte ne peut donc pas s’appuyer sur celui-ci pour lire cette mémoire en clair. Deux technologies sont concernées : AMD SEV-SNP sur les processeurs AMD EPYC à partir de la génération Milan, et Intel TDX sur les processeurs Intel Xeon de cinquième génération et ultérieurs.
Le dispositif repose aussi sur l’attestation : une preuve cryptographique permet de vérifier l’environnement d’exécution avant de lui transmettre des secrets. Un système de gestion de clés peut ainsi conditionner leur délivrance au résultat de cette vérification. Le déploiement nécessite l’activation des fonctions dans le firmware, une version du matériel virtuel au moins égale à 22 et un système invité Linux compatible. VCF Operations permet de repérer les hôtes compatibles, l’activation de la fonction et les machines virtuelles confidentielles.
Ce que ça change pour les entreprises
Pour les DSI, cette approche peut répondre aux besoins de charges dont les informations en mémoire sont particulièrement sensibles : gestion de clés, bases de données sensibles ou IA privée. Son périmètre reste toutefois limité. Elle ne protège ni contre une application compromise dans la machine virtuelle, ni contre la lecture des disques, ni contre l’arrêt imposé par l’hyperviseur. Correctifs, durcissement, chiffrement des disques et sécurité physique restent nécessaires.
Les équipes IT doivent également revoir certains choix d’exploitation. Ces machines ne prennent pas en charge vMotion, les instantanés mémoire ou l’ajout à chaud de processeurs et de mémoire. Leur mémoire est intégralement réservée sur l’hôte, ce qui modifie le dimensionnement. La maintenance doit prévoir des arrêts ou un basculement applicatif. Enfin, l’attestation doit déboucher sur une décision effective de délivrance des secrets ; avec Intel TDX, l’accès aux services distants d’Intel est aussi à anticiper.
Comment UNEETY peut vous accompagner
Une ESN comme UNEETY peut accompagner le cadrage des charges pertinentes, l’évaluation des prérequis et l’intégration de l’attestation à la gestion des secrets. L’accompagnement peut aussi porter sur la sécurisation des systèmes invités et l’adaptation des procédures d’exploitation, en commençant par un périmètre limité.
Découvrez notre offre Cyber & GRC ou contactez-nous.
Source : annonce VMware du 30 octobre 2026.