Vertrauliche Container auf Azure

Vertrauliche Container bieten standardisierten Container-Workloads hardwaregestützten Schutz. Sie laufen in Trusted Execution Environments (TEEs), um die Datenvertraulichkeit, Datenintegrität und die Integrität des Laufzeitcodes zu verbessern.

Vorteile

Vertrauliche Container auf Azure laufen in hardwaregestützten TEEs. Für die meisten Implementierungen bedeutet dieser Schutz eine VM-basierte Isolation auf AMD-SEV-SNP- oder Intel-TDX-unterstützter Infrastruktur.

Die wichtigsten Vorteile umfassen Folgendes:

  • Führe bestehende Container-Images ohne Codeänderungen (Lift-and-Shift) innerhalb eines TEE aus.
  • Entwickeln Sie neue Anwendungen, die mit Confidential Computing kompatibel sind.
  • Attestieren Sie Laufzeitumgebungen aus der Ferne und überprüfen Sie, was gestartet wurde.
  • Stärken Sie Vertraulichkeit und Integrität durch hardwaregestützte Garantien.
  • Isoliere Container von anderen Pods und vom VM-Node-OS-Kernel.

VM-isolierte Confidential Container in Azure Container Instances (ACI)

Vertrauliche Container in ACI ermöglichen eine schnelle und einfache Bereitstellung von Containern nativ in Azure mit der Möglichkeit, Daten und Code während der Verwendung dank AMD EPYC™-Prozessoren mit Confidential Computing-Funktionen zu schützen. Der Grund ist, dass Ihre Container in einem hardwarebasierten und attestierten Trusted Execution Environment (TEE) ausgeführt werden, ohne Notwendigkeit eines speziellen Programmiermodells und ohne Infrastrukturverwaltungsaufwand. Mit dieser Produkteinführung erhalten Sie:

  1. Vollständiger Gastnachweis, der kryptografische Messungen von Hardware und Software in der Trusted Computing Base (TCB) enthält.
  2. Werkzeuge zur Erstellung und Durchsetzung von Richtlinien im TEE.
  3. Open-Source-Sidecars für sichere Schlüsselfreigabe und verschlüsselte Dateisysteme.

Grafik von ACI.

Confidential VM node pools on Azure Kubernetes Service (AKS)

Für Kubernetes-Bereitstellungen verwenden Sie vertrauliche VM-Knotenpools auf AKS, um Container-Workloads auf vertraulichen AMD SEV-SNP VMs mit verwalteten Clusteroperationen auszuführen.

Vertrauliche Container in Intel SGX-Enklaven (Spezialisiert)

Azure Kubernetes Service (AKS) unterstützt das Hinzufügen von Intel SGX Confidential Computing-VM-Knoten als Agentpools in einem Cluster. Auf diesen Knoten können Sie vertrauliche Workloads in einer hardwarebasierten TEE ausführen. In diesen Umgebungen können mit Code auf Benutzerebene aus Containern private Arbeitsspeicherregionen zugeordnet werden, um den Code direkt per CPU auszuführen. Diese privaten Arbeitsspeicherregionen, die direkt per CPU ausgeführt werden, werden als „Enclaves“ (Enklaven) bezeichnet. Enklaven tragen zum Schutz von Datenvertraulichkeit, Datenintegrität und Codeintegrität vor der Beeinträchtigung durch andere Prozesse, die auf denselben Knoten ausgeführt werden, sowie durch Azure-Operatoren bei. Mit dem Intel SGX-Ausführungsmodell werden auch die Zwischenschichten des Gastbetriebssystems, Hostbetriebssystems und von Hypervisor entfernt, um die Angriffsfläche zu verkleinern. Das Modell für die hardwarebasierte Ausführung mit containerspezifischer Isolierung auf einem Knoten ermöglicht Anwendungen die direkte Ausführung mit der CPU, während der spezielle Arbeitsspeicherblock pro Container verschlüsselt bleibt. Confidential Computing-Knoten mit vertraulichen Containern sind ein wertvoller Beitrag zu Ihrer Zero-Trust-Sicherheitsplanung und Strategie für die tiefgehende Verteidigung von Containern. Weitere Informationen zu dieser Funktion finden Sie hier.

Grafik: AKS Confidential Compute-Knoten mit vertraulichen Containern und darin gesichertem Code bzw. darin gesicherten Daten

Fragen?

Wenn Sie Fragen zu Containerangeboten haben, kontaktieren Sie acconaks@microsoft.com.

Nächste Schritte

  • Zuletzt aktualisiert um