Poufne kontenery na platformie Azure

Poufne kontenery dodają ochronę wspieraną sprzętowo standardowym obciążeniom kontenerowym. Działają one w Trusted Execution Environments (TEEs), aby poprawić poufność danych, integralność danych oraz integralność kodu wykonawczego.

Świadczenia

Poufne kontenery na platformie Azure działają w środowiskach TEE wspieranych sprzętowo. W większości wdrożeń ta ochrona oznacza izolację opartą na maszynach wirtualnych (VM) na infrastrukturze wspieranej przez AMD SEV-SNP lub Intel TDX.

Najważniejsze korzyści to:

  • Uruchamiaj istniejące obrazy kontenerów bez zmian kodu (lift-and-shift) wewnątrz TEE.
  • Buduj nowe aplikacje przystosowane do technologii confidential computing.
  • Zdalnie poświadczaj środowiska uruchomieniowe i weryfikuj, co zostało uruchomione.
  • Wzmacniaj poufność i integralność dzięki gwarancjom opartym na sprzęcie.
  • Izoluj kontenery od innych podów oraz od jądra systemu operacyjnego węzła VM.

Izolowane poufne kontenery maszyn wirtualnych w usłudze Azure Container Instances (ACI)

Poufne kontenery w usłudze ACI umożliwiają szybkie i łatwe wdrażanie kontenerów natywnie na platformie Azure oraz możliwość ochrony danych i kodu w użyciu dzięki procesorom AMD EPYC™ z funkcjami przetwarzania poufnego. Dzieje się tak dlatego, że kontenery działają w opartym na sprzęcie i zaświadczanym zaufanym środowisku wykonywania (TEE) bez konieczności wdrażania wyspecjalizowanego modelu programowania i bez nakładu pracy związanego z zarządzaniem infrastrukturą. Po uruchomieniu uzyskasz następujące informacje:

  1. Pełne poświadczenie gościa, które raportuje kryptograficzne pomiary sprzętu i oprogramowania w zaufanej bazie systemowej (TCB).
  2. Narzędzia do generowania i egzekwowania polityk w TEE.
  3. Open-source sidecars do bezpiecznego udostępniania kluczy i szyfrowanych systemów plików.

Grafika przedstawiająca ACI.

Confidential VM node pools on Azure Kubernetes Service (AKS)

W przypadku wdrożeń Kubernetes używaj pul węzłów poufnych maszyn wirtualnych w AKS do uruchamiania obciążeń kontenerowych na poufnych maszynach wirtualnych AMD SEV-SNP z zarządzanymi operacjami klastra.

Poufne kontenery w enklawach Intel SGX (wyspecjalizowane)

Usługa Azure Kubernetes Service (AKS) obsługuje dodawanie poufnych węzłów maszyn wirtualnych obliczeniowych Intel SGX jako pul agentów w klastrze. Te węzły umożliwiają uruchamianie poufnych obciążeń w środowisku TEE opartym na sprzęcie. Zaufane środowiska wykonawcze (TEEs) umożliwiają kodowi na poziomie użytkownika z kontenerów przydzielanie prywatnych regionów pamięci w celu wykonywania kodu bezpośrednio z użyciem procesora CPU. Te prywatne regiony pamięci, które wykonują się bezpośrednio przy użyciu procesora, są nazywane enklawami. Enklawy pomagają chronić poufność danych, integralność danych i integralność kodu przed innymi procesami uruchomionymi w tych samych węzłach, a także operatorem platformy Azure. Model wykonywania Intel SGX usuwa również warstwy pośrednie systemu operacyjnego gościa (Guest OS), systemu operacyjnego hosta (Host OS) i hypervisora, co zmniejsza powierzchnię podatną na ataki. Model izolowanego wykonywania na poziomie sprzętu dla każdego kontenera w węźle umożliwia aplikacjom bezpośrednie wykonywanie z użyciem CPU, przy jednoczesnym zachowaniu zaszyfrowanego bloku pamięci dla każdego kontenera. Poufne węzły obliczeniowe z poufnymi kontenerami są doskonałym dodatkiem do strategii kontenerów opartej na zerowym zaufaniu, planowaniu bezpieczeństwa i obronie w głąb. Dowiedz się więcej na temat tej możliwości tutaj

Grafika dotycząca poufnego węzła obliczeniowego usługi AKS przedstawiająca poufne kontenery z kodem i danymi zabezpieczonymi wewnątrz.

Pytania?

Jeśli masz pytania dotyczące oferty kontenerów, skontaktuj się z acconaks@microsoft.com.

Następne kroki

  • Ostatnia aktualizacja o