Modele wdrażania w przetwarzaniu poufnym

Azure confidential computing obsługuje wiele modeli wdrożeniowych, aby spełnić różne wymagania dotyczące bezpieczeństwa, przenośności i eksploatacji.

Infrastruktura jako usługa

W ramach modelu wdrażania infrastruktury jako usługi (IaaS) w przetwarzaniu w chmurze można użyć:

• Poufne maszyny wirtualne oparte na technologii AMD SEV-SNP lub Intel TDX na potrzeby izolacji maszyn wirtualnych.
• Enklawy aplikacji z Intel SGX dla specjalistycznych scenariuszy izolacji na poziomie aplikacji.

Opcje te różnią się przede wszystkim pod względem granicy zaufania oraz złożoności wdrożenia.

Model IaaS zapewnia dostęp na żądanie do obliczeń, przechowywania danych, sieci i wirtualizacji. Azure zarządza infrastrukturą, dzięki czemu możesz skupić się na systemie gościnnym i aplikacjach. Dla wielu zespołów ten model łączy silną kontrolę ze skalowalnością chmury i prostotą operacyjną.

Platforma jako usługa

W przypadku platformy jako usługi (PaaS) używaj poufnych kontenerów, w tym poufnych kontenerów usługi Azure Container Instances oraz pul węzłów AKS Confidential VM.

Modele Intel SGX z uwzględnieniem kontenerów i enklaw są dostępne dla zaawansowanych scenariuszy, ale większość nowych wdrożeń powinna zaczynać się od izolacji VM wspieranej przez SNP lub TDX oraz ofert zarządzanych kontenerów.

Wybierz odpowiedni model na podstawie architektury aplikacji, wymaganej granicy zaufania oraz ograniczeń migracji.

Chociaż maszyny wirtualne pozostają ważne, kontenery oferują większą elastyczność w nowoczesnych środowiskach programistycznych. Kontenery mogą obsługiwać aplikacje, które:

• Działaj w wielu chmurach.
• Nawiązywanie połączenia z mikrousługami.
• Używaj wielu języków programowania i frameworków.
• Korzystaj z automatyzacji i Azure Pipelines, w tym CI/CD.

Kontenery mogą również zwiększyć przenośność i poprawić efektywność zasobów dzięki elastycznemu skalowaniu.

Wybierz poufne maszyny wirtualne, gdy:

• Masz aplikacje starsze, których nie możesz modyfikować ani konteneryzować, ale nadal potrzebujesz ochrony danych podczas użycia.
• Uruchamiasz wiele aplikacji, które wymagają różnych systemów operacyjnych.
• Potrzebujesz pełnego środowiska systemu gościnnego.
• Migrujesz istniejące maszyny wirtualne ze środowiska lokalnego do platformy Azure.

Wybieraj pojemniki poufne, gdy:

• Potrzebujesz większej efektywności kosztowej i zasobowej oraz szybszych cykli wdrożenia.
• Budujesz rozwiązanie natywne w chmurze i kontrolujesz kod źródłowy oraz pipeline'y wdrożeniowe.
• Potrzebna jest obsługa wielu chmur.

Obie opcje zapewniają silne bezpieczeństwo z różnymi kompromisami operacyjnymi.

Porównanie granic zabezpieczeń

Poufne maszyny wirtualne i poufne kontenery mają różne profile bezpieczeństwa.

Poufne maszyny wirtualne (SNP/TDX)

Poufne maszyny wirtualne zapewniają sprzętowo szyfrowaną ochronę dla całej maszyny, dzięki czemu administrator hosta nie może uzyskać do niej dostępu bez autoryzacji. Ten poziom ochrony obejmuje hiperwizjer, którym zarządza CSP. Użyj tego typu maszyny wirtualnej typu Confidential VM, aby uniemożliwić CSP dostęp do danych i kodu działających w maszynie wirtualnej.

Administratorzy VM, aplikacje i inne usługi działające wewnątrz VM działają poza granicami ochrony. Ci użytkownicy i usługi mogą uzyskiwać dostęp do danych i kodu na maszynie wirtualnej.

Enklawy aplikacyjne (specjalistyczne)

Enklawy aplikacji pomagają chronić przestrzenie pamięci wewnątrz maszyny wirtualnej dzięki szyfrowaniu opartemu na sprzęcie. Granica bezpieczeństwa jest bardziej ograniczona niż w przypadku poufnych maszyn wirtualnych, ale ten model wymaga tworzenia oprogramowania ze świadomością enklaw oraz wyspecjalizowanych wzorców operacyjnych.

Intel SGX może zapewnić silną izolację na poziomie funkcji, ale ta ścieżka jest zazwyczaj najlepsza dla istniejących aplikacji natywnych w enklawie lub wymagań niszowych.

Powiązana zawartość

• Dowiedz się o poufnych opcjach VM.
• Dowiedz się więcej o poufnych kontenerach.
• Dowiedz się więcej o enklawach przetwarzania poufnego (specjalistycznych).