Preread-Empfehlungen

  • Artikel

Dieses Dokument soll Ihnen helfen, durch den Prozess der Auswahl eines Containers auf Azure Confidential Computing zu helfen, das ihren Workloadanforderungen und Ihrer Sicherheitslage am besten entspricht. Um den Leitfaden optimal zu nutzen, empfehlen wir die folgenden Prereads.

Azure Compute Decision Matrix

Machen Sie sich mit den allgemeinen Azure Compute-Angeboten vertraut, um den breiteren Kontext zu verstehen, in dem Azure Confidential Computing ausgeführt wird.

Einführung in Azure Confidential Computing

Azure Confidential Computing bietet Lösungen, mit denen Sie Ihre sensiblen Daten isolieren können, während sie in der Cloud verarbeitet werden. Weitere Informationen zum Confidential Computing finden Sie unter Azure Confidential Computing.

Nachweis

Beim Nachweisen handelt es sich um ein Prozess, der die Integrität und Identität der Hard- und Softwareumgebungen, in denen Anwendungen ausgeführt werden, gewährleistet. Mit dem Nachweis „Vertraulich“ können Sie bestätigen, dass Ihre Anwendungen auf vertrauenswürdiger Hardware und in einer vertrauenswürdigen Ausführungsumgebung laufen.

Weitere Informationen zum Nachweis und zum Microsoft Azure Attestation-Dienst finden Sie unter Nachweis in Azure

Definition der Speicherisolation

Bei vertraulichen Datenverarbeitungen ist die Speicherisolation ein wichtiges Feature, das Daten während der Verarbeitung schützt. Das Confidential Computing Consortium definiert die Speicherisolation wie folgt:

„Die Speicherisolation ist die Fähigkeit, nicht autorisierten Zugriff auf Daten im Arbeitsspeicher zu verhindern, auch wenn der Angreifer das Betriebssystem oder andere privilegierte Software kompromittiert hat. Dies wird durch die Verwendung hardwarebasierter Features erreicht, um eine sichere, isolierte Umgebung für vertrauliche Arbeitsauslastungen zu schaffen.“

Auswählen eines Containerangebots in Azure Confidential Computing

Azure Confidential Computing bietet verschiedene Lösungen für die Containerbereitstellung und -verwaltung, die jeweils auf unterschiedliche Isolations- und Nachweisfunktionen zugeschnitten sind.

Ihre aktuellen Einrichtungs- und Betriebsanforderungen diktieren den relevantesten Pfad durch dieses Dokument. Wenn Sie bereits Azure Kubernetes Service (AKS) verwenden oder Abhängigkeiten von Kubernetes-APIs haben, empfehlen wir, den AKS-Pfaden zu folgen. Wenn Sie jedoch von einer Einrichtung eines virtuellen Computers wechseln und serverlose Container erkunden möchten, sollte der ACI-Pfad (Azure Container Instances) von Interesse sein.

Azure Kubernetes Service (AKS)

Vertrauliche VM-Workerknoten

  • Gastnachweis: Fähigkeit, zu überprüfen, ob Sie auf einem vertraulichen virtuellen Computer arbeiten, der von Azure bereitgestellt wird.
  • Speicherisolation: Isolation auf VM-Ebene mit eindeutigem Speicherverschlüsselungsschlüssel pro VM.
  • Programmiermodell: Null bis minimale Änderungen für containerisierte Anwendungen. Die Unterstützung ist auf Container beschränkt, die auf Linux basieren (Container mit einem Linux-Basisimage für den Container).

Weitere Informationen zu den ersten Schritten mit CVM-Arbeitsknoten mit einer Lift- und Schichtarbeitsauslastung in den CVM-Knotenpool finden Sie.

Vertrauliche Container in AKS

  • Vollständiger Gastnachweis: Ermöglicht den Nachweis der vollständigen vertraulichen Computerumgebung einschließlich der Workload.
  • Speicherisolation: Isolation auf Knotenebene mit einem eindeutigen Speicherverschlüsselungsschlüssel pro VM.
  • Programmiermodell: Null bis minimale Änderungen für containerisierte Anwendungen (Container mit einem Linux-Basisimage für den Container).
  • Ideale Workloads: Anwendungen mit vertraulichen Datenverarbeitungsanforderungen, Multi-Party-Berechnungsanforderungen und gesetzlichen Compliance-Anforderungen.

Weitere Informationen finden Sie unter "Vertrauliche Container" mit Azure Kubernetes Service.

Confidential Computing-Knoten mit Intel SGX

  • Anwendungs-Enklave-Nachweis: Ermöglicht den Nachweis des ausgeführten Containers in Szenarien, in denen der virtuelle Computer nicht vertrauenswürdig ist, sondern nur die Anwendung vertrauenswürdig ist, um eine erhöhte Sicherheitsstufe und Vertrauen in die Ausführungsumgebung der Anwendung sicherzustellen.
  • Isolation: Prozessebenenisolation.
  • Programmiermodell: Erfordert die Verwendung von Open-Source-Bibliotheksbetriebssystem- oder Anbieterlösungen zum Ausführen vorhandener containerisierter Anwendungen. Die Unterstützung ist auf Container beschränkt, die auf Linux basieren (Container mit einem Linux-Basisimage für den Container).
  • Ideale Workloads: Hochsicherheitsanwendungen wie Schlüsselverwaltungssysteme.

Weitere Informationen zum Angebot und zu unseren Partnerlösungen finden Sie hier.

Serverlos

Vertrauliche Container in Azure Container Instances (ACI)

  • Vollständiger Gastnachweis: Ermöglicht den Nachweis der vollständigen vertraulichen Computerumgebung einschließlich der Workload.
  • Isolation: Isolation auf Containergruppenebene mit einem eindeutigen Speicherverschlüsselungsschlüssel pro Containergruppe.
  • Programmiermodell: Null bis minimale Änderungen für containerisierte Anwendungen. Die Unterstützung ist auf Container beschränkt, die auf Linux basieren (Container mit einem Linux-Basisimage für den Container).
  • Ideale Workloads: Schnelle Entwicklung und Bereitstellung einfacher containerisierter Workloads ohne Orchestrierung. Unterstützung für das Bursting von AKS mit virtuellen Knoten.

Weitere Details finden Sie unter Erste Schritte mit vertraulichen Containern in ACI.

Weitere Informationen

Intel SGX vertrauliche virtuelle Maschinen in AzureVertrauliche Container in Azure