Kontenery z uwzględnieniem enklawy z Intel SGX (specjalizowane)

Enklawa to chroniony obszar pamięci, który zapewnia poufność danych i wykonywania kodu. Jest to instancja Zaufanego Środowiska Wykonawczego (TEE), zabezpieczonego sprzętowo. Maszyny wirtualne do przetwarzania poufnego na platformie AKS wykorzystują Intel Software Guard Extensions (SGX) do tworzenia w węzłach izolowanych środowisk enklawowych dla każdej aplikacji kontenerowej.

Podobnie jak maszyny wirtualne Intel SGX, aplikacje kontenerowe opracowane do pracy w enklawach mają dwa komponenty:

• Niezaufany komponent (zwany hostem) oraz
• Zaufany komponent (zwany enklawą).

Architektura aplikacji oparta na kontenerach obsługujących enklawy daje największą kontrolę nad implementacją, jednocześnie utrzymując niski ślad kodu w enklawie. Minimalizowanie kodu działającego w enklawie pomaga zmniejszyć powierzchnię ataku.

Elementy włączające

Open Enclave SDK

Open Enclave SDK to niezależna od sprzętu biblioteka open-source do tworzenia aplikacji C i C++ wykorzystujących sprzętowe zaufane środowiska wykonawcze. Obecna implementacja zapewnia wsparcie dla Intel SGX oraz obsługę w wersji zapoznawczej dla OP-TEE OS na Arm TrustZone.

Rozpocznij pracę z aplikacją kontenerową opartą na Open Enclave tutaj.

Intel SGX SDK

Intel utrzymuje zestaw programistyczny do tworzenia aplikacji SGX zarówno dla obciążeń kontenerowych Linuksa, jak i Windows. Kontenery Windows nie są obecnie wspierane przez węzły AKS Confidential Computing.

Zacznij pracę z aplikacjami opartymi na Intel SGX tutaj.

Confidential Consortium Framework (CCF)

Confidential Consortium Framework (CCF) to framework open source służący do budowania nowej kategorii bezpiecznych, wysoce dostępnych i wydajnych aplikacji skupiających się na wielostronnych obliczeniach i przetwarzaniu danych. CCF umożliwia tworzenie wysokoskalowych, poufnych sieci, które spełniają kluczowe wymagania przedsiębiorstwa. Zapewnia to możliwość przyspieszenia produkcji i adopcji przez przedsiębiorstwa technologii blockchain opartej na konsorcjum oraz technologii obliczeń wielopartyjnych.

Rozpocznij pracę z Azure confidential computing i CCF tutaj.

Poufne wnioskowanie inferencyjne ONNX Runtime

Środowisko uruchomienia ONNX oparte na otwartoźródłowej enklawie ustanawia bezpieczny kanał między klientem a usługą inferencyjną. Ten kanał zapewnia, że ani żądanie, ani odpowiedź nie mogą opuścić bezpiecznej enklawy.

To rozwiązanie pozwala na zaimportowanie istniejących wytrenowanych modeli ML i ich poufne uruchamianie, jednocześnie zapewniając zaufanie między klientem a serwerem poprzez poświadczenia i weryfikacje.

Zacznij korzystać z przenoszenia modeli ML do środowiska ONNX Runtime tutaj.

EGo

Open-source SDK EGo wprowadza obsługę języka programowania Go w enklawach. EGo bazuje na Open Enclave SDK. Ma na celu ułatwienie tworzenia poufnych mikroserwisów. Postępuj zgodnie z tym przewodnikiem krok po kroku , aby wdrożyć usługę opartą na EGo na AKS.

Przykładowe implementacje oparte na kontenerach

Przykłady platformy Azure dotyczące kontenerów obsługujących enklawy w usłudze AKS

Wdróż klaster AKS z poufnymi węzłami maszyn wirtualnych Intel SGX

Azure Attestation

Intel SGX Confidential Virtual Machine on AzureConfidential Containers