Zaufane środowisko wykonawcze (TEE)

Zaufane środowisko wykonawcze (TEE) chroni kod i dane podczas ich użytkowania.

Co to jest TEE?

TEE to izolowany obszar CPU i pamięci chroniony szyfrowaniem sprzętowym. Kod spoza TEE nie może odczytywać ani modyfikować danych TEE. Dostęp do niego ma tylko autoryzowany kod.

Kod wewnątrz TEE jest wykonywany w tekście jawnym, ale wydaje się zaszyfrowany dla wszystkiego poza tą granicą. Procesor bezpieczeństwa platformy na CPU zarządza tą ochroną.

Azure confidential computing ma dwa główne modele: izolację TEE na poziomie VM dla szerokiego wdrożenia oraz modele oparte na enklawie dla zastosowań specjalistycznych.

Model na poziomie VM wykorzystuje AMD SEV-SNP (ogólna dostępność) lub Intel Trust Domain Extensions (TDX) do szyfrowania pamięci VM. Obsługuje wiele obciążeń VM i kontenerów typu lift-and-shift bez zmian w kodzie.

Model oparty na enklawie wykorzystuje funkcje CPU, takie jak Intel Software Guard Extensions (SGX), do tworzenia chronionych obszarów pamięci wewnątrz maszyny wirtualnej. Model ten jest zazwyczaj stosowany w specjalistycznych lub istniejących aplikacjach natywnych dla enklawy.

Obie technologie stanowią podstawę infrastruktury poufnej jako usługi (IaaS) oraz platformy jako usługi (PaaS) na platformie Azure.

Nowe projekty procesorów graficznych (GPU) również obsługują funkcje TEE. Możesz łączyć GPU i CPU TEE, takie jak poufna oferta GPU oparta na NVIDIA, aby wspierać godne zaufania obciążenia AI.

Treści powiązane

Aby uzyskać informacje techniczne na temat implementacji tee na różnych urządzeniach platformy Azure, zobacz:

• Poufne maszyny wirtualne firmy AMD SEV-SNP
• Maszyny wirtualne Intel TDX
• Sprzęt NVIDIA
• Maszyny wirtualne z obsługą Intel SGX (scenariusze specjalistyczne)