Conteneurs confidentiels sur Azure

Les conteneurs confidentiels ajoutent une protection adossée au matériel aux charges de travail standard des conteneurs. Ils fonctionnent dans des environnements d’exécution de confiance (TEE) pour aider à améliorer la confidentialité des données, l’intégrité des données et l’intégrité du code à l’exécution.

Avantages

Les conteneurs confidentiels sur Azure s’exécutent dans des TEE matériels. Pour la plupart des déploiements, cette protection signifie une isolation au niveau des machines virtuelles sur une infrastructure reposant sur AMD SEV-SNP ou Intel TDX.

Les principaux avantages sont les suivants :

  • Exécutez des images de conteneurs existantes sans modifications de code (lift-and-shift) à l’intérieur d’un TEE.
  • Construisez de nouvelles applications conscientes de l’informatique confidentielle.
  • Attestez à distance des environnements d’exécution et vérifiez ce qui a été lancé.
  • Renforcez la confidentialité et l’intégrité grâce à des garanties assurées par le matériel.
  • Isoler les conteneurs des autres pods et du noyau du système d’exploitation du nœud VM.

Conteneurs confidentiels à isolation VM sur Azure Container Instances (ACI)

Les conteneurs confidentiels sur ACI permettent un déploiement rapide et facile de conteneurs en mode natif dans Azure et avec la possibilité de protéger les données et le code en cours d’utilisation grâce aux processeurs AMD EPYC™ avec des fonctionnalités d’informatique confidentielle. Cela est dû au fait que votre ou vos conteneurs s’exécutent dans un environnement d’exécution de confiance (TEE) basé sur du matériel et attesté sans avoir à adopter un modèle de programmation spécialisé et sans surcharge de gestion de l’infrastructure. Avec ce lancement, vous obtenez :

  1. Attestation complète de la machine virtuelle invitée, qui fournit des mesures cryptographiques du matériel et des logiciels composant la base TCB (Trusted Computing Base).
  2. Outils pour générer et faire respecter les politiques dans le TEE.
  3. Sidecars open source pour la libération sécurisée des clés et les systèmes de fichiers chiffrés.

Graphique d’ACI.

pools de nœuds de machines virtuelles confidentielles sur Azure Kubernetes Service (AKS)

Pour les déploiements Kubernetes, utilisez des pools de nœuds VM confidentiels sur AKS pour exécuter des charges de travail conteneurisées sur des VM confidentielles AMD SEV-SNP avec des opérations de cluster managées.

Conteneurs confidentiels dans des enclaves Intel SGX (spécialisé)

Azure Kubernetes Service (AKS) prend en charge l’ajout de nœuds de machine virtuelle d’informatique confidentielle Intel SGX en tant que pools d’agents dans un cluster. Ces nœuds vous permettent d’exécuter des charges de travail sensibles au sein d’un environnement d’exécution de confiance (TEE) reposant sur le matériel. Les environnements TEE permettent au code au niveau utilisateur des conteneurs d’allouer des régions de mémoire privées pour exécuter directement le code avec le processeur. Ces régions de mémoire privées qui s’exécutent directement avec le processeur sont appelées enclaves. Les enclaves aident à protéger la confidentialité des données ainsi que l’intégrité des données et du code contre les autres processus en cours d’exécution sur les mêmes nœuds, ainsi que contre l’opérateur Azure. De plus, le modèle d’exécution Intel SGX supprime les couches intermédiaires du système d’exploitation invité, du système d’exploitation hôte et de l’hyperviseur, réduisant ainsi la surface d’exposition aux attaques. Le modèle d’exécution isolée par conteneur basée sur le matériel dans un nœud permet aux applications de s’exécuter directement avec le processeur, tout en conservant le bloc spécial de mémoire chiffré par conteneur. Les nœuds d’informatique confidentielle avec des conteneurs confidentiels sont un excellent ajout à votre stratégie de conteneur avec défense en profondeur et de planification d’une sécurité Confiance Zéro. En savoir plus sur cette fonctionnalité ici

Graphique du nœud de calcul confidentiel AKS avec des conteneurs confidentiels avec du code et des données sécurisés à l’intérieur.

Des questions ?

Si vous avez des questions concernant les offres de conteneurs, contactez acconaks@microsoft.com.

Étapes suivantes

  • Dernière mise à jour :