Логическая схема работы сервиса
Выделение дискового пространства с поддержкой политики шифрования.
Вы создаете шифрованную ВМ.
vCenter с помощью NKP генерирует KEK и сохраняет его в своей базе данных.
vCenter передает KEK всем ESXi в кластере vSphere High Avalibility и сохраняет в своей памяти KEK ID. ESXi хранят KEK в оперативной памяти и не записывают его на диск.
ESXi генерирует DEK после получения KEK.
ESXi зашифровывает DEK с помощью KEK.
ESXi записывает зашифрованный DEK в конфигурационный файл ВМ.
ESXi шифрует файлы ВМ с помощью DEK.
Вы настраиваете Full Disk Encryption на уровне ОС c хранением ключа шифрования в vTPM.