Možnosti Azure Confidential VM

Azure nabízí možnosti Trusted Execution Environment (TEE) od AMD i Intelu. Tyto TEE umožňují nasazovat důvěrné VM pro mnoho pracovních zátěží bez nutnosti změn kódu.

Důvěrné VM na bázi AMD používají AMD SEV-SNP, představené s procesory AMD EPYC 3. generace. Intelové důvěrné VM používají Intel TDX, představený s 5. generací procesorů Intel Xeon. Implementace se liší, ale obě poskytují silnou ochranu před cloudovou infrastrukturou.

Velikosti

K dispozici jsou následující velikosti VM:

Velikost rodiny TEE Popis
Řada DCasv5 AMD SEV-SNP CvM pro obecné účely se vzdáleným úložištěm Žádný místní dočasný disk.
Řada DCadsv5 AMD SEV-SNP CVM pro obecné účely s místním dočasným diskem.
Řada ECasv5 AMD SEV-SNP CVM optimalizované pro paměť se vzdáleným úložištěm. Žádný místní dočasný disk.
ECadsv5-series AMD SEV-SNP CVM optimalizované pro paměť s místním dočasným diskem.
Řada DCasv6 AMD SEV-SNP CvM pro obecné účely se vzdáleným úložištěm Žádný místní dočasný disk.
DCadsv6-series AMD SEV-SNP CVM pro obecné účely s místním dočasným diskem.
ECasv6-series AMD SEV-SNP CVM optimalizované pro paměť se vzdáleným úložištěm. Žádný místní dočasný disk.
ECadsv6-series AMD SEV-SNP CVM optimalizované pro paměť s místním dočasným diskem.
Řada DCesv6 Intel TDX CvM pro obecné účely se vzdáleným úložištěm Žádný místní dočasný disk.
Řada DCedsv6 Intel TDX CVM pro obecné účely s místním dočasným diskem.
Řada ECesv6 Intel TDX CVM optimalizované pro paměť se vzdáleným úložištěm. Žádný místní dočasný disk.
Řada ECedsv6 Intel TDX CVM optimalizované pro paměť s místním dočasným diskem.
NCCadsH100v5-series Grafické karty AMD SEV-SNP a NVIDIA H100 s Tensor Core CVM se soukromým GPU.

Poznámka:

Důvěrné virtuální počítače optimalizované pro paměť nabízejí dvojnásobný poměr paměti na počet vCPU.

Rozdíly v pojmenování CVM podle technologie

Azure názvy CVM následují konzistentní vzorec, ale písmena rodiny se liší mezi AMD SEV-SNP a Intel TDX.

  • Rodiny AMD SEV-SNP používají a v názvu rodiny, například DCasv5 a ECadsv6.
  • Rodiny Intel TDX používají e v názvu rodiny, například DCesv6 a ECedsv6.
  • d v názvu řady (například DCadsv6 nebo DCedsv6) označuje varianty místních dočasných disků.
  • D rodiny jsou univerzální a E rodiny jsou optimalizované na paměť.

Následující příklady ukazují vzor pojmenování v tomto článku:

Vzor Example Technologie
DCa* / ECa* DCasv6, ECadsv5 AMD SEV-SNP
DCe* / ECe* DCesv6, ECedsv6 Intel TDX

Příkazy Azure CLI

Azure CLI můžete použít s důvěrnými virtuálními počítači.

Pokud chcete zobrazit seznam důvěrných velikostí virtuálních počítačů, spusťte následující příkaz. Nahraďte <vm-series> řadou, kterou chcete použít. Výstup zobrazuje informace o dostupných oblastech a zónách dostupnosti.

vm_series='DCASv5'
az vm list-skus \
    --size dc \
    --query "[?family=='standard${vm_series}Family'].{name:name,locations:locationInfo[0].location,AZ_a:locationInfo[0].zones[0],AZ_b:locationInfo[0].zones[1],AZ_c:locationInfo[0].zones[2]}" \
    --all \
    --output table

Podrobnější seznam zobrazíte spuštěním následujícího příkazu:

vm_series='DCASv5'
az vm list-skus \
    --size dc \
    --query "[?family=='standard${vm_series}Family']"

Aspekty nasazení

Před nasazením důvěrných virtuálních počítačů zvažte následující nastavení a volby.

Předplatné Azure

Pokud chcete nasadit důvěrnou instanci virtuálního počítače, zvažte předplatné s placením za používání nebo jinou možnost nákupu. Pokud používáte bezplatný účet Azure, kvóta neumožňuje odpovídající počet výpočetních jader Azure.

Možná budete muset zvýšit kvótu jader ve vašem předplatném Azure oproti výchozí hodnotě. Výchozí limity se liší v závislosti na vaší kategorii předplatného. Vaše předplatné může také omezit počet jader, která můžete nasadit v určitých rodinách velikostí virtuálních počítačů, včetně důvěrných velikostí virtuálních počítačů.

Pokud chcete požádat o navýšení kvóty, otevřete online žádost o zákaznickou podporu.

Pokud potřebujete velkou kapacitu, obraťte se na podporu Azure. Kvóty Azure jsou limity kreditů, nikoli záruky kapacity. Za jádra, která používáte, se účtují jenom poplatky.

Cenotvorba

Cenové možnosti najdete v tématu Ceny virtuálních počítačů s Linuxem.

Regionální dostupnost

Informace o dostupnosti najdete v produktech virtuálních počítačů, které jsou dostupné v jednotlivých oblastech Azure.

Změna velikosti

Důvěrné virtuální počítače běží na specializovaném hardwaru, takže můžete změnit velikost jenom důvěrných instancí virtuálních počítačů na jiné důvěrné velikosti ve stejné oblasti. Pokud máte například virtuální počítač řady DCasv5-series, můžete změnit velikost na jinou instanci řady DCasv5 nebo instanci řady DCesv6.

Velikost nechráněného virtuálního počítače nemůžete změnit na chráněný virtuální počítač.

Vysoká dostupnost a zotavení po havárii

Zodpovídáte za vytváření řešení pro vysokou dostupnost a zotavení po havárii pro vaše důvěrné virtuální počítače. Plánování těchto scénářů pomáhá minimalizovat a vyhnout se prodlouženým výpadkům.

Nasazení pomocí šablon ARM

Azure Resource Manager je služba nasazování a správy pro Azure. Můžete:

  • Zabezpečte a uspořádejte prostředky po nasazení pomocí funkcí pro správu, jako je řízení přístupu, zámky a značky.
  • Vytvářejte, aktualizujte a odstraňujte prostředky ve vašem předplatném Azure pomocí vrstvy správy.
  • Pomocí šablon Azure Resource Manageru (šablon ARM) nasaďte důvěrné virtuální počítače na procesory AMD.

Nezapomeňte zadat následující vlastnosti pro virtuální počítač v části parametrů (parameters):

  • Velikost virtuálního počítače (vmSize). Vyberte si z různých důvěrných rodin a velikostí virtuálních počítačů.
  • Název obrazu operačního systému (osImageName). Vyberte si z kvalifikovaných imagí operačního systému.
  • Typ šifrování disku (securityType). Vyberte si šifrování pouze VMGS (VMGuestStateOnly) nebo úplné předběžné šifrování disku s operačním systémem (DiskWithVMGuestState), což může vést k delší době zřizování.

Další kroky

Nasazení důvěrného virtuálního počítače z webu Azure Portal

Začněte s ukázkami kódu pro Azure confidential computing na GitHub.

Další informace najdete v nejčastějších dotazech k důvěrným virtuálním počítačům.

  • Poslední aktualizace v