Opcje poufnej maszyny wirtualnej platformy Azure

Azure oferuje opcje Trusted Execution Environment (TEE) zarówno od AMD, jak i Intela. Te TEE pozwalają wdrażać poufne maszyny wirtualne dla wielu obciążeń bez zmian w kodzie.

Poufne maszyny wirtualne oparte na AMD wykorzystują AMD SEV-SNP, wprowadzone z procesorami AMD EPYC trzeciej generacji. Poufne maszyny wirtualne oparte na Intelu korzystają z Intel TDX, wprowadzonego wraz z procesorami Intel Xeon 5. generacji. Implementacje różnią się, ale obie zapewniają silną ochronę na poziomie stosu infrastruktury chmurowej.

Rozmiary

Dostępne są następujące rozmiary maszyn wirtualnych:

Różnice w nazewnictwie CVM według technologii

Azure nazwy CVM podążają za spójnym wzorcem, ale litery rodziny różnią się między ofertami AMD SEV-SNP i Intel TDX.

• rodziny AMD SEV-SNP używają a w nazwie rodziny, takie jak DCasv5 i ECadsv6.
• Rodziny Intel TDX w nazwie rodziny używają e, na przykład DCesv6 i ECedsv6.
• Znak d w nazwie rodziny produktów (na przykład DCadsv6 lub DCedsv6) oznacza lokalne warianty tymczasowych dysków.
• D rodziny są uniwersalne, a E rodziny są zoptymalizowane pod względem pamięci.

Poniższe przykłady pokazują wzorzec nazewnictwa opisany w tym artykule:

Polecenia interfejsu wiersza polecenia platformy Azure

Możesz używać Azure CLI z poufnymi maszynami wirtualnymi.

Aby wyświetlić listę poufnych rozmiarów maszyn wirtualnych, uruchom następujące polecenie. Zastąp <vm-series> serią, której chcesz użyć. Dane wyjściowe zawierają informacje o dostępnych regionach i strefach dostępności.

vm_series='DCASv5'
az vm list-skus \
    --size dc \
    --query "[?family=='standard${vm_series}Family'].{name:name,locations:locationInfo[0].location,AZ_a:locationInfo[0].zones[0],AZ_b:locationInfo[0].zones[1],AZ_c:locationInfo[0].zones[2]}" \
    --all \
    --output table

Aby uzyskać bardziej szczegółową listę, uruchom następujące polecenie:

vm_series='DCASv5'
az vm list-skus \
    --size dc \
    --query "[?family=='standard${vm_series}Family']" 

Uwagi dotyczące wdrażania

Przed wdrożeniem poufnych maszyn wirtualnych należy wziąć pod uwagę następujące ustawienia i opcje.

Subskrypcja Azure

Aby wdrożyć poufne wystąpienie maszyny wirtualnej, rozważ subskrypcję z płatnością zgodnie z rzeczywistym użyciem lub inną opcję zakupu. Jeśli używasz bezpłatnego konta platformy Azure, limit przydziału nie zezwala na odpowiednią liczbę rdzeni obliczeniowych platformy Azure.

Może być konieczne zwiększenie limitu przydziału rdzeni w subskrypcji platformy Azure z wartości domyślnej. Limity domyślne różnią się w zależności od kategorii subskrypcji. Twoja subskrypcja może również ograniczyć liczbę rdzeni, które można wdrożyć w niektórych rodzinach rozmiarów maszyn wirtualnych, w tym w przypadku rozmiarów poufnych maszyn wirtualnych.

Aby zażądać zwiększenia limitu przydziału, otwórz internetowe zgłoszenie do działu obsługi klienta.

Jeśli masz potrzeby dotyczące dużej wydajności, skontaktuj się z pomocą techniczną platformy Azure. Limity przydziału platformy Azure to limity kredytowe, a nie gwarancje pojemności. Opłaty są naliczane tylko za używane rdzenie.

Cennik

Aby uzyskać informacje o opcjach cenowych, zobacz Cennik maszyn wirtualnych z systemem Linux.

Dostępność regionalna

Aby uzyskać informacje o dostępności, zobacz, które produkty maszyn wirtualnych są dostępne według regionów platformy Azure.

Zmiana rozmiaru

Poufne maszyny wirtualne działają na wyspecjalizowanym sprzęcie, dzięki czemu można zmienić rozmiar poufnych wystąpień maszyn wirtualnych tylko na inne poufne rozmiary w tym samym regionie. Jeśli na przykład masz maszynę wirtualną serii DCasv5, możesz zmienić rozmiar na maszynę wirtualną serii DCasv5 lub maszynę wirtualną serii DCesv6.

Nie da się zmienić rozmiaru niepoufnej maszyny wirtualnej na rozmiar poufnej maszyny wirtualnej.

Wysoka dostępność i odzyskiwanie po awarii

Odpowiadasz za tworzenie rozwiązań wysokiej dostępności i odzyskiwania po awarii dla maszyn wirtualnych Confidential VM. Przygotowanie się na te scenariusze pomaga zminimalizować i uniknąć długotrwałego przestoju.

Wdrażanie przy użyciu szablonów usługi ARM

Usługa Azure Resource Manager to usługa wdrażania i zarządzania dla platformy Azure. Możesz:

• Zabezpiecz i uporządkuj zasoby po wdrożeniu za pomocą funkcji zarządzania, takich jak kontrola dostępu, blokady i tagi.
• Twórz, aktualizuj i usuwaj zasoby w subskrypcji platformy Azure przy użyciu warstwy zarządzania.
• Użyj szablonów usługi Azure Resource Manager (szablonów ARM), aby wdrożyć poufne maszyny wirtualne na procesorach AMD.

Upewnij się, że w sekcji parameters (parameters) określono następujące właściwości maszyny wirtualnej:

• Rozmiar maszyny wirtualnej (vmSize). Wybierz spośród różnych poufnych rodzin maszyn wirtualnych i rozmiarów.
• Nazwa obrazu systemu operacyjnego (osImageName). Wybierz spośród kwalifikujących się obrazów systemu operacyjnego.
• Typ szyfrowania dysku (securityType). Wybierz opcję szyfrowania tylko w usłudze VMGS (VMGuestStateOnly) lub pełnego szyfrowania dysku systemu operacyjnego (DiskWithVMGuestState), co może spowodować dłuższy czas aprowizacji.

Następne kroki

Zacznij od przykładów kodu Azure confidential computing na GitHub.

Aby uzyskać więcej informacji, zobacz często zadawane pytania dotyczące poufnej maszyny wirtualnej.