Confidential Computing-implementatiemodellen
Azure Confidential Computing ondersteunt meerdere implementatiemodellen. Deze verschillende modellen ondersteunen de grote verscheidenheid aan klantbeveiligingsvereisten voor moderne cloud-computing.
Infrastructure-as-a-Service (IaaS)
Onder IaaS-implementatiemodel (Infrastructure as a Service) kunt u vertrouwelijke VM's (CVM's) gebruiken op basis van AMD SEV-SNP of Intel TDX voor VM-isolatie of application enclaves met Intel SGX voor app-isolatie. Deze opties bieden organisaties verschillende implementatiemodellen, afhankelijk van uw vertrouwensgrens of gewenst implementatiegemak.
Infrastructure as a Service (IaaS) is een cloud-computingimplementatiemodel dat toegang verleent tot schaalbare computingresources, zoals servers, opslag, netwerken en virtualisatie, op aanvraag. Door het IaaS-implementatiemodel te gebruiken, kunnen organisaties het proces van het aanschaffen, configureren en beheren van hun eigen infrastructuur in plaats daarvan alleen betalen voor de resources die ze gebruiken. Dit maakt het een rendabele oplossing.
In het domein van cloud-computing stelt IaaS-implementatiemodel bedrijven in staat om afzonderlijke services te huren van cloudserviceproviders zoals Azure. Azure neemt de verantwoordelijkheid voor het beheren en onderhouden van de infrastructuur, waardoor organisaties zich kunnen concentreren op het installeren, configureren en beheren van hun software. Azure biedt ook aanvullende services, zoals uitgebreid factureringsbeheer, logboekregistratie, bewaking, tolerantie voor opslag en beveiliging.
Schaalbaarheid vormt een ander belangrijk voordeel van het IaaS-implementatiemodel in cloud-computing. Ondernemingen kunnen hun resources snel omhoog en omlaag schalen op basis van hun behoeften. Deze flexibiliteit vergemakkelijkt snellere ontwikkelingslevenscycli, een snellere markttijd voor nieuwe producten en ideeën. Daarnaast zorgt het IaaS-implementatiemodel voor betrouwbaarheid door single points of failure te elimineren. Zelfs in het geval van een storing in een hardwareonderdeel blijft de service toegankelijk.
Tot slot biedt het IaaS-implementatiemodel in combinatie met Azure Confidential Computing voordelen, waaronder kostenbesparingen, verhoogde efficiëntie, innovatiekansen, betrouwbaarheid, hoge schaalbaarheid en alle oplossingen die zijn beveiligd door een robuuste en uitgebreide beveiligingsoplossing die speciaal is ontworpen om zeer gevoelige gegevens te beschermen.
Platform-as-a-Service (PaaS)
Voor PaaS (Platform as a Service) kunt u vertrouwelijke containers gebruiken in confidential computing. Deze aanbieding omvat enclave-compatibele containers in Azure Kubernetes Service (AKS).
Het kiezen van het juiste implementatiemodel is afhankelijk van veel factoren. Mogelijk moet u rekening houden met het bestaan van verouderde toepassingen, mogelijkheden van besturingssystemen en migratie vanuit on-premises netwerken.
Hoewel er nog steeds veel redenen zijn om VM's te gebruiken, bieden containers extra flexibiliteit voor de vele softwareomgevingen van moderne IT.
Containers kunnen apps ondersteunen die:
- Uitvoeren op meerdere clouds.
- Verbinding maken naar microservices.
- Gebruik verschillende programmeertalen en frameworks.
- Gebruik automatisering en Azure Pipelines, waaronder implementatie van continue integratie en continue implementatie (CI/CD).
Containers vergroten ook de draagbaarheid van toepassingen en verbeteren het resourcegebruik door de elasticiteit van de Azure-cloud toe te passen.
Normaal gesproken kunt u uw oplossing implementeren op vertrouwelijke VM's als:
- U hebt verouderde toepassingen die niet kunnen worden gewijzigd of in een container kunnen worden geplaatst. U moet echter nog steeds beveiliging van gegevens in het geheugen introduceren, terwijl de gegevens worden verwerkt.
- U voert meerdere toepassingen uit waarvoor verschillende besturingssystemen (OS) op één deel van de infrastructuur zijn vereist.
- U wilt een volledige computeromgeving emuleren, inclusief alle besturingssysteemresources.
- U migreert uw bestaande VM's van on-premises naar Azure.
U kunt kiezen voor een vertrouwelijke benadering op basis van containers wanneer:
- U maakt zich zorgen over kosten en resourcetoewijzing. U hebt echter een flexibeler platform nodig voor de implementatie van uw eigen apps en gegevenssets.
- U bouwt een moderne cloudeigen oplossing. U hebt ook volledige controle over broncode en het implementatieproces.
- U hebt ondersteuning voor meerdere clouds nodig.
Beide opties bieden het hoogste beveiligingsniveau voor Azure-services.
Er zijn enkele verschillen in de beveiligingspostuur van vertrouwelijke VM's en vertrouwelijke containers als volgt.
Vertrouwelijke VM's
Vertrouwelijke VM's bieden door hardware versleutelde beveiliging van de hele VIRTUELE machine tegen onbevoegde toegang door de hostbeheerder. Dit niveau omvat doorgaans de hypervisor, die door de cloudserviceprovider (CSP) wordt beheerd. U kunt dit type vertrouwelijke VM gebruiken om te voorkomen dat de CSP toegang krijgt tot gegevens en code die wordt uitgevoerd binnen de VIRTUELE machine.
VM-beheerders of andere apps of services die binnen de VIRTUELE machine worden uitgevoerd, werken buiten de beveiligde grenzen. Deze gebruikers en services hebben toegang tot gegevens en code binnen de VIRTUELE machine.
Toepassings-enclaves
Application Enclaves beveiligt geheugenruimten binnen een VIRTUELE machine met op hardware gebaseerde versleuteling. De beveiligingsgrens van toepassings-enclaves is beperkter dan vertrouwelijke VM's. Voor Intel SGX is de beveiligingsgrens van toepassing op delen van het geheugen binnen een VIRTUELE machine. Gastbeheerders, apps en services die binnen de VM worden uitgevoerd, hebben geen toegang tot gegevens en code in de uitvoering binnen de enclave.
Intel SGX verbetert de beveiliging van toepassingen door gegevens in gebruik te isoleren. Er worden beveiligde enclaves gemaakt die wijzigingen in geselecteerde code en gegevens voorkomen, zodat alleen geautoriseerde code er toegang toe heeft. Zelfs met machtigingen op hoog niveau hebben entiteiten buiten de enclave, waaronder het besturingssysteem en de hypervisor, geen toegang tot enclavegeheugen via standaardoproepen. Voor toegang tot enclavefuncties zijn specifieke Intel SGX CPU-instructies vereist, waaronder meerdere beveiligingscontroles.
