Använda konfidentiella Virtual Machines (CVM:er) i Azure Kubernetes Service (AKS) kluster

Confidential Virtual Machines (CVMs) erbjuder stark säkerhet och konfidentialitet för klienter. CVMs erbjuder en hårdvarubaserad betrodd exekveringsmiljö (TEE) baserad på VM som använder SEV-SNP-säkerhetsfunktioner för att förhindra att hypervisorn och annan värdhanteringskod får åtkomst till VM-minne och -tillstånd, vilket ger ett djupgående skydd mot operatörsåtkomst. Dessa funktioner gör det möjligt för nodpooler med CVM:er att rikta migreringen av mycket känsliga containerarbetsbelastningar till AKS utan kodrefaktorisering samtidigt som funktionerna i AKS används. Du kan till exempel behöva CVM:er om du har följande:

• Arbetsbelastningar som hanterar säkerhetskritiska data och känsliga kunddata.
• Tjänster som krävs för att uppfylla olika efterlevnadskrav, särskilt för offentliga kontrakt. Utan en skalbar lösning för att skydda data kan detta potentiellt leda till förlust av ackreditering och kontrakt.

I den här artikeln får du lära dig hur du skapar AKS-nodpooler med hjälp av storlekar för konfidentiella virtuella datorer.

AKS-stödda storlekar för konfidentiella virtuella datorer

Azure erbjuder ett urval av alternativ för betrodd körningsmiljö (TEE) från både AMD och Intel. Med dessa TEE:er kan du skapa konfidentiella VM-miljöer med utmärkta pris-till-prestanda-förhållanden, allt utan att kräva några kodändringar. Intel TDX-baserade konfidentiella virtuella datorer stöds för närvarande inte på AKS.

Mer information finns i VM-storlekar för CVM.

Säkerhetsfunktioner

CVM:er erbjuder följande säkerhetsförbättringar jämfört med andra storlekar för virtuella datorer:

• Robust maskinvarubaserad isolering mellan virtuella datorer, hypervisor- och värdhanteringskod.
• Anpassningsbara attesteringsprinciper för att säkerställa värdens efterlevnad före utplaceringen.
• VM-krypteringsnycklar som plattformen eller kunden (valfritt) äger och hanterar.
• Säker nyckelversion med kryptografisk bindning mellan plattformens lyckade attestering och den virtuella datorns krypteringsnycklar.
• Dedikerad TPM-instans (Virtual Trusted Platform Module) för attestering och skydd av nycklar och hemligheter på den virtuella datorn.
• Säker startfunktion som liknar betrodd start för virtuella Azure-datorer

Hur fungerar det?

Om du kör en arbetsbelastning som kräver förbättrad konfidentialitet och integritet kan du dra nytta av minneskryptering och förbättrad säkerhet utan kodändringar i ditt program. Alla poddar på din CVM-nod ingår i samma förtroendegräns. Noderna i en nodpool som skapats med CVM:er använder en anpassad nodbild som är särskilt konfigurerad för CVM:er.

Operativsystemversioner som stöds

Du kan skapa CVM-nodpooler på Linux OS-typer (Ubuntu och Azure Linux). Alla OS-versioner stöder dock inte CVM-nodpooler.

Den här tabellen innehåller operativsystemversioner som stöds:

När du använder Ubuntu eller AzureLinux som osSKU, och standardversionen av operativsystemet inte har stöd för CVM:er, använder AKS som standard den senaste versionen av operativsystemet som har stöd för CVM:er.

Begränsningar

Följande begränsningar gäller när du lägger till en nodpool med CVM i AKS:

• Du kan inte använda FIPS, ARM64, Trusted Launch, Pod sandboxing, Confidential containers eller node auto-provisioning (NAP) med CVM-nodpooler.
• Du kan inte använda CVM:er med Windows nodpooler.

Förutsättningar

Kontrollera att du har följande innan du börjar:

• Ett befintligt AKS-kluster.
• CVM-storlekar måste vara tillgängliga för din prenumeration i den region där klustret skapas. Du måste ha tillräcklig kvot för att skapa en nodpool med en CVM-storlek.

Lägga till en nodpool med en CVM i ditt AKS-kluster

Lägg till en nodpool med en CVM i AKS-klustret med hjälp av az aks nodepool add kommandot och ange storleken på den node-vm-sizevirtuella datorn som stöds.

az aks nodepool add \
    --resource-group myResourceGroup \
    --cluster-name myAKSCluster \
    --name cvmnodepool \
    --node-count 3 \
    --node-vm-size Standard_DC4as_v5 

Om du inte anger osSKU eller osType, är AKS standardvärdet --os-type Linux och --os-sku Ubuntu.

Om du vill skapa en CVM-nodpool som använder Azure Linux anger du --os-sku AzureLinux.

az aks nodepool add \
    --resource-group myResourceGroup \
    --cluster-name myAKSCluster \
    --name cvmnodepool \
    --node-count 3 \
    --node-vm-size Standard_DC4as_v5 \
    --os-sku AzureLinux

Kontrollera att nodpoolen använder CVM:er

1. Kontrollera att en nodpool använder CVM:er genom att köra az aks nodepool show kommandot och kontrollera att vmSize är Standard_DC4as_v5.

   az aks nodepool show \
       --resource-group myResourceGroup \
       --cluster-name myAKSCluster \
       --name cvmnodepool \
       --query 'vmSize'
   

   Följande exempelutdata visar att nodpoolen använder CVM:er:

   "Standard_DC4as_v5"
   

2. Kontrollera att en nodpool använder en CVM-avbildning genom att az aks nodepool show köra kommandot .

   az aks nodepool show \
       --resource-group myResourceGroup \
       --cluster-name myAKSCluster \
       --name cvmnodepool \
       --query 'nodeImageVersion'
   

   Följande exempelutdata visar att nodpoolen använder en Ubuntu 20.04 CVM-avbildning. Genereringen av operativsystemet och avbildningsversionen beror på Kubernetes-versionen och OS SKU för nodpoolen.

   "AKSUbuntu-2404gen2CVMcontainerd-202608.06.1"
   

Ta bort en nodpool med CVM:er från ett AKS-kluster

Ta bort en nodpool med CVM:er från ett AKS-kluster med kommandot az aks nodepool delete .

az aks nodepool delete \
    --resource-group myResourceGroup \
    --cluster-name myAKSCluster \
    --name cvmnodepool

Relaterat innehåll

I den här artikeln har du lärt dig hur du lägger till en nodpool med CVM:er i ett AKS-kluster.

• Mer information om CVM:er finns i Stöd för konfidentiella VM-nodpooler på AKS.
• Om du vill migrera en befintlig nodpool till en VM-storlek för CVM kan du ändra storlek på nodpoolen.
• Om du är intresserad av att aktivera Betrodd start på dina nodpooler kan du läsa Betrodd start på AKS.