Używanie poufnych Virtual Machines (CVM) w klastrze Azure Kubernetes Service (AKS)

Confidential Virtual Machines (CVMs) oferują wysoki poziom bezpieczeństwa i poufności dla dzierżawców. CVM-y oferują Zaufane Środowisko Wykonawcze na poziomie sprzętu (TEE) oparte na maszynie wirtualnej, które wykorzystuje funkcje zabezpieczeń SEV-SNP, aby uniemożliwić funkcjom hypervisora i innemu kodowi zarządzającemu hostem dostęp do pamięci i stanu maszyny wirtualnej, zapewniając ochronę w głębi przed dostępem operatora. Te funkcje umożliwiają pulom węzłów z CVMs ukierunkowanie migracji wysoce wrażliwych obciążeń kontenerowych do usługi AKS bez konieczności refaktoryzacji kodu, przy jednoczesnym korzystaniu z funkcji AKS. Na przykład, możesz wymagać CVMs, jeśli masz następujące:

• Obciążenia obsługujące dane krytyczne dla zabezpieczeń i poufne dane klientów.
• Usługi, które są wymagane do spełnienia różnych wymagań dotyczących zgodności, zwłaszcza w przypadku umów rządowych. Bez skalowalnego rozwiązania do zabezpieczania danych może to potencjalnie prowadzić do utraty akredytacji i kontraktów.

Z tego artykułu dowiesz się, jak tworzyć pule węzłów usługi AKS przy użyciu poufnych rozmiarów maszyn wirtualnych.

Obsługiwane w AKS poufne rozmiary maszyn wirtualnych

Platforma Azure oferuje wybór opcji zaufanego środowiska wykonawczego (TEE) zarówno z firmy AMD, jak i firmy Intel. Te TEE umożliwiają tworzenie poufnych środowisk maszyn wirtualnych z doskonałymi współczynnikami cen do wydajności, a wszystko to bez konieczności wprowadzania żadnych zmian w kodzie. Poufne maszyny wirtualne oparte na technologii Intel TDX nie są obecnie obsługiwane w usłudze AKS.

Aby uzyskać więcej informacji, zobacz Rozmiary maszyn wirtualnych CVM.

Funkcje zabezpieczeń

CvMs oferują następujące ulepszenia zabezpieczeń w porównaniu z innymi rozmiarami maszyn wirtualnych:

• Niezawodna izolacja sprzętowa między maszynami wirtualnymi, funkcją hypervisor i kodem zarządzania hostami.
• Dostosowywalne zasady zaświadczania w celu zapewnienia zgodności hosta przed wdrożeniem.
• Klucze szyfrowania maszyn wirtualnych, którymi opcjonalnie zarządza i które posiada platforma lub klient.
• Bezpieczne wydanie klucza za pomocą powiązania kryptograficznego między pomyślnym zaświadczeniem platformy a kluczami szyfrowania maszyny wirtualnej.
• Dedykowane wirtualne wystąpienie Modułu Zaufanej Platformy (TPM) do uwierzytelniania i ochrony kluczy oraz sekretów w maszynie wirtualnej.
• Funkcja bezpiecznego rozruchu podobna do zaufanego uruchamiania maszyn wirtualnych platformy Azure

Jak to działa?

Jeśli korzystasz z obciążenia wymagającego zwiększonej poufności i integralności, możesz skorzystać z szyfrowania pamięci i zwiększonych zabezpieczeń bez zmian kodu w aplikacji. Wszystkie pody w węźle CVM są częścią tej samej granicy zaufania. Węzły w puli węzłów utworzonej z użyciem maszyn CVM używają dostosowanego obrazu węzła, specjalnie skonfigurowanego dla maszyn CVM.

Obsługiwane wersje systemu operacyjnego

Pule węzłów CVM można tworzyć w typach systemu operacyjnego Linux (Ubuntu i Azure Linux). Jednak nie wszystkie wersje systemu operacyjnego obsługują pule węzłów CVM.

Ta tabela zawiera obsługiwane wersje systemu operacyjnego:

Jeśli używasz Ubuntu lub AzureLinux jako osSKU, a domyślna wersja systemu operacyjnego nie obsługuje maszyn wirtualnych poufnych (CVM), usługa AKS domyślnie wybiera najnowszą wersję systemu operacyjnego obsługiwaną przez CVM.

Ograniczenia

Podczas dodawania puli węzłów z cvm do usługi AKS obowiązują następujące ograniczenia:

• W pulach węzłów CVM nie można używać funkcji FIPS, ARM64, Trusted Launch, piaskownicowania podów, kontenerów poufnych ani automatycznej aprowizacji węzłów (NAP).
• Nie można używać CVMs w pulach węzłów systemu Windows.

Wymagania wstępne

Przed rozpoczęciem upewnij się, że masz następujące elementy:

• Istniejący klaster AKS.
• Rozmiary CVM muszą być dostępne dla Twojej subskrypcji w regionie, w którym utworzono klaster. Aby utworzyć pulę węzłów o rozmiarze CVM, musisz mieć wystarczający limit przydziału.

Dodaj pulę węzłów z CVM do klastra usługi AKS

Dodaj pulę węzłów z CVM do klastra usługi AKS, używając polecenia , i ustaw na obsługiwany rozmiar maszyny wirtualnej .

az aks nodepool add \
    --resource-group myResourceGroup \
    --cluster-name myAKSCluster \
    --name cvmnodepool \
    --node-count 3 \
    --node-vm-size Standard_DC4as_v5 

Jeśli nie określisz osSKU lub osType, AKS domyślnie użyje --os-type Linux i --os-sku Ubuntu.

Aby utworzyć pulę węzłów CVM korzystającą z systemu Azure Linux, ustaw wartość --os-sku AzureLinux.

az aks nodepool add \
    --resource-group myResourceGroup \
    --cluster-name myAKSCluster \
    --name cvmnodepool \
    --node-count 3 \
    --node-vm-size Standard_DC4as_v5 \
    --os-sku AzureLinux

Sprawdź, czy pula węzłów używa maszyn CVM

1. Sprawdź, czy pula węzłów używa maszyn CVM, uruchamiając polecenie az aks nodepool show i sprawdzając, czy wartość elementu vmSize to Standard_DC4as_v5.

   az aks nodepool show \
       --resource-group myResourceGroup \
       --cluster-name myAKSCluster \
       --name cvmnodepool \
       --query 'vmSize'
   

   Poniższe przykładowe dane wyjściowe pokazują, że pula węzłów używa CVMs:

   "Standard_DC4as_v5"
   

2. Sprawdź, czy pula węzłów używa obrazu CVM, uruchamiając polecenie az aks nodepool show.

   az aks nodepool show \
       --resource-group myResourceGroup \
       --cluster-name myAKSCluster \
       --name cvmnodepool \
       --query 'nodeImageVersion'
   

   Poniższe przykładowe dane wyjściowe pokazują, że pula węzłów korzysta z obrazu CVM Ubuntu 20.04. Generacja systemu operacyjnego i wersja obrazu zależą od wersji Kubernetes oraz SKU systemu operacyjnego puli węzłów.

   "AKSUbuntu-2404gen2CVMcontainerd-202608.06.1"
   

Usuń z klastra AKS pulę węzłów z maszynami CVM

Usuń z klastra usługi AKS pulę węzłów z maszynami CVM przy użyciu polecenia az aks nodepool delete.

az aks nodepool delete \
    --resource-group myResourceGroup \
    --cluster-name myAKSCluster \
    --name cvmnodepool

Treści powiązane

W tym artykule omówiono, jak dodać pulę węzłów z maszynami CVM do klastra usługi AKS.

• Aby uzyskać więcej informacji na temat CVMs, zobacz Obsługa pul węzłów poufnych maszyn wirtualnych w usłudze AKS.
• Aby przeprowadzić migrację istniejącej puli węzłów do rozmiaru maszyny wirtualnej CVM, możesz zmienić rozmiar puli węzłów.
• Jeśli chcesz włączyć funkcję Trusted Launch dla pul węzłów, zobacz Trusted Launch w usłudze AKS.