Konfidentiella containrar på Azure

Konfidentiella containrar lägger till hårdvarubaserat skydd till standardcontainerarbetsbelastningar. De körs i Trusted Execution Environments (TEE) för att förbättra datakonfidentialitet, dataintegritet och körningskodsintegritet.

Fördelar

Konfidentiella containrar på Azure körs i hårdvarubackade TEE:er. För de flesta implementationer innebär detta skydd VM-baserad isolering på AMD SEV-SNP eller Intel TDX-stödd infrastruktur.

Viktiga fördelar är:

• Kör befintliga containerbilder utan kodändringar (lift-and-shift) i en TEE.
• Bygg nya applikationer som är anpassade för konfidentiell databehandling.
• Intyga runtime-miljöer på distans och verifiera vad som startades.
• Stärk sekretess och integritet med hårdvarubaserade garantier.
• Isolera containrar från andra poddar och från VM-nodens OS-kärna.

Isolerade konfidentiella containrar för virtuella datorer på Azure Container Instances (ACI)

Konfidentiella containrar på ACI möjliggör snabb och enkel distribution av containrar internt i Azure och med möjlighet att skydda data och kod som används tack vare AMD EPYC-processorer™ med funktioner för konfidentiell databehandling. Det beror på att dina container(er) körs i en maskinvarubaserad och intygad betrodd körningsmiljö (TEE) utan att behöva använda en specialiserad programmeringsmodell och utan kostnader för infrastrukturhantering. Med den här lanseringen får du:

1. Fullständig gästattestation som rapporterar kryptografiska mätningar av hårdvara och mjukvara i den betrodda beräkningsbasen (TCB).
2. Verktyg för att generera och upprätthålla policyer i TEE.
3. Sidecars med öppen källkod för säker nyckelfrigivning och krypterade filsystem.

Confidential VM node pools on Azure Kubernetes Service (AKS)

För Kubernetes-distributioner, använd konfidentiella VM-nodpooler på AKS för att köra containerarbetsbelastningar på AMD SEV-SNP konfidentiella VM:ar med hanterade klusteroperationer.

Konfidentiella containrar i Intel SGX-enklaver (specialiserade)

Azure Kubernetes Service (AKS) har stöd för att lägga till Intel SGX-noder för konfidentiell databehandling av virtuella datorer som agentpooler i ett kluster. Med dessa noder kan du köra känsliga arbetsbelastningar i en maskinvarubaserad TEE. Tees tillåter att kod på användarnivå från containrar allokerar privata minnesregioner för att köra koden med CPU direkt. Dessa privata minnesregioner som körs direkt med CPU kallas enklaver. Enklaver hjälper till att skydda datasekretess, dataintegritet och kodintegritet från andra processer som körs på samma noder samt Azure-operatör. Intel SGX-körningsmodellen tar också bort de mellanliggande lagren för gästoperativsystem, värdoperativsystem och Hypervisor vilket minskar attackytan. Den maskinvarubaserade modellen för isolerad körning per container i en nod gör att program kan köras direkt med processorn, samtidigt som det särskilda blocket med minne krypteras per container. Konfidentiala databehandlingsnoder med konfidentiella containrar är ett bra komplement till din strategi för nollförtroende, säkerhetsplanering och skydd på djupet. Läs mer om den här funktionen här

Frågor?

Om du har frågor om containererbjudanden, kontakta acconaks@microsoft.com.

Nästa steg

• Börja med Azure Confidential Computing Code Samples på GitHub
• Distribuera en konfidentiell containergrupp med Azure Container Instances
• Distribuera konfidentiella VM-nodpooler i AKS
• Microsoft Azure-attestering
• Intel SGX konfidentiell containervägledning (specialiserad)
• Azure Kubernetes Service (AKS)