Důvěrné kontejnery v Azure

Důvěrné kontejnery poskytují sadu funkcí a možností pro další zabezpečení standardních úloh kontejnerů, aby bylo dosaženo vyšších cílů zabezpečení dat, ochrany osobních údajů a integrity kódu modulu runtime. Důvěrné kontejnery běží v hardwarovém prostředí důvěryhodného spouštění (TEE), které poskytují vnitřní funkce, jako je integrita dat, důvěrnost dat a integrita kódu. Azure nabízí portfolio funkcí prostřednictvím různých možností důvěrných kontejnerových služeb, jak je popsáno níže.

Zaměstnanecké výhody

Důvěrné kontejnery v Azure běží v prostředích TEE založené na enklávě nebo virtuálních počítačích. Oba modely nasazení pomáhají dosáhnout vysoké izolace a šifrování paměti prostřednictvím hardwarových záruk. Důvěrné výpočty vám můžou pomoct se stavem zabezpečení nasazením modelu nulové důvěry v cloudu Azure tím, že chrání prostor paměti prostřednictvím šifrování.

Níže jsou uvedeny vlastnosti důvěrných kontejnerů:

  • Umožňuje spouštění existujících standardních imagí kontejnerů beze změn kódu (lift and shift) v rámci TEE.
  • Schopnost rozšířit nebo sestavit nové aplikace, které mají povědomí o důvěrných výpočetních operacích
  • Umožňuje vzdáleně vyzvat prostředí runtime k získání kryptografického důkazu, který určuje, co bylo spuštěno a o čem zpravuje bezpečný procesor.
  • Poskytuje silné záruky důvěrnosti dat, integrity kódu a integrity dat v cloudovém prostředí s nabídkami důvěrných výpočetních operací založených na hardwaru.
  • Pomáhá izolovat kontejnery od jiných skupin kontejnerů nebo podů a také jádra operačního systému uzlu virtuálního počítače.

Důvěrné kontejnery izolovaného virtuálního počítače ve službě Azure Container Instances (ACI)

Důvěrné kontejnery v ACI umožňují rychlé a snadné nasazení kontejnerů nativně v Azure a schopnost chránit data a kód, které se používají díky procesorům AMD EPYC™ s důvěrnými výpočetními možnostmi. Důvodem je to, že vaše kontejnery běží v hardwarovém a ověřeném důvěryhodném spouštěcím prostředí (TEE), aniž by bylo nutné přijmout specializovaný programovací model a bez režie na správu infrastruktury. S tímto startem získáte:

  1. Úplné ověření identity hosta, které odráží kryptografické měření všech hardwarových a softwarových komponent spuštěných v rámci vaší důvěryhodné výpočetní základny (TCB).
  2. Nástroje pro generování zásad, které se budou vynucovat v důvěryhodném výpočetním prostředí.
  3. Open source doprovodné kontejnery pro bezpečné uvolňování klíčů a šifrované souborové systémy.

Grafika ACI.

Důvěrné kontejnery v enklávě Intel SGX prostřednictvím OSS nebo partnerského softwaru

Azure Kubernetes Service (AKS) podporuje přidání uzlů důvěrných výpočetních virtuálních počítačů Intel SGX jako fondů agentů v clusteru. Tyto uzly umožňují spouštět citlivé úlohy v rámci hardwarového prostředí TEE. TEE umožňují kódu na úrovni uživatele z kontejnerů přidělit privátní oblasti paměti k přímému spuštění kódu s procesorem. Tyto oblasti privátní paměti, které se spouštějí přímo s procesorem, se nazývají enklávy. Enklávy pomáhají chránit důvěrnost dat, integritu dat a integritu kódu před jinými procesy spuštěnými na stejných uzlech a také operátorem Azure. Model spouštění Intel SGX také odstraňuje přechodné vrstvy hostovaného operačního systému, hostitelského operačního systému a hypervisoru, čímž snižuje prostor pro útok. Model izolovaného spouštění založený na hardwaru pro jednotlivé kontejnery v uzlu umožňuje aplikacím pracovat přímo s CPU, přičemž zachovává speciální blok paměti zašifrovaný pro každý kontejner. Důvěrné výpočetní uzly s důvěrnými kontejnery jsou skvělým doplňkem pro strategii kontejnerů s nulovou důvěryhodností, plánováním zabezpečení a hloubkovou obranou. Další informace o této funkci najdete tady.

Obrázek důvěrného výpočetního uzlu AKS zobrazující důvěrné kontejnery s kódem a daty zabezpečenými uvnitř

Otázky?

Pokud máte dotazy ohledně nabídek kontejnerů, obraťte se prosím na acconaks@microsoft.com.

Další kroky

  • Last updated on