Veelgestelde vragen over Confidential Computing-knooppunten in Azure Kubernetes Service (AKS)

Ja, voor Intel SGX-enclaveknooppunten.

Ja, DCSv3 VM-knooppunten ondersteunen versneld netwerken. VIRTUELE DCSv2-machines niet.

Momenteel worden DCSv2/DCSv3-VM's van Azure Confidential Computing geïnstalleerd met Intel SGX DCAP 1.33.2

Nee Op AKS Engine gebaseerde vertrouwelijke computingknooppunten ondersteunen vertrouwelijke rekenknooppunten die aangepaste installaties toestaan en volledige controle hebben over uw Kubernetes-besturingsvlak.

Ja, u kunt verschillende knooppuntgroepen uitvoeren binnen hetzelfde AKS-cluster, inclusief ACC-knooppunten. Als u uw enclavetoepassingen wilt richten op een specifieke knooppuntgroep, kunt u overwegen om knooppuntkiezers toe te voegen of EPC-limieten toe te passen. Raadpleeg hier meer informatie over de quickstart op vertrouwelijke knooppunten.

Op dit moment niet. Neem contact op met het productteam als acconaks@microsoft.com u Windows-knooppunten of containerbehoeften hebt.

Ja. De VM's hebben ook een regelmatig geheugen waarmee standaardcontainerworkloads kunnen worden uitgevoerd. Houd rekening met het beveiligings- en bedreigingsmodel van uw toepassingen voordat u besluit over de implementatiemodellen.

DCSv2/DCsv3-SKU's. Meer informatie over DCSv2 en DCSv3 zijn beschikbaar in de ondersteunde regio's

Ja. Azure CLI kan ook worden gebruikt als alternatief, zoals hier wordt beschreven.

18.04 op Gen 2.

• Ondersteunt alleen VM-knooppunten van Ubuntu 18.04 Gen 2
• Geen Ondersteuning voor Windows-knooppunten of Ondersteuning voor Windows-containers
• Automatische schaalaanpassing van horizontale pods op basis van EPC-geheugen wordt niet ondersteund. CPU en regelmatig schalen op basis van geheugen wordt ondersteund.
• Dev Spaces in AKS voor vertrouwelijke apps worden momenteel niet ondersteund

Ja. Azure CLI kan ook worden gebruikt als alternatief, zoals hier wordt beschreven.

Ja, u brengt SGX-wrappersoftware uit in een Intel SGX-enclave, bekijk de pagina vertrouwelijke containers voor meer informatie over platform enablers.

Verschillende enablers (ISV's en OSS-projecten) bieden manieren om vertrouwelijke containers in te schakelen. Bekijk de pagina Vertrouwelijke containers voor meer informatie en afzonderlijke verwijzingen naar implementaties.

Attestation is het proces voor het demonstreren en valideren van het feit dat een stuk software correct is geïnstantieerd op het specifieke hardwareplatform. Het zorgt er ook voor dat zijn bewijsmateriaal verifieerbaar is om garanties te bieden dat het op een veilig platform wordt uitgevoerd en niet is gemanipuleerd. Lees meer over hoe Attestation wordt uitgevoerd voor enclave-apps.

Het EPC-geheugen is van toepassing op het deel van uw toepassing dat is geprogrammeerd om uit te voeren in de enclave. De totale grootte van uw container is niet de juiste manier om deze te vergelijken met het maximaal beschikbare EPC-geheugen. DCSv2-machines met SGX maken het maximale VM-geheugen van 32 GB mogelijk, waar uw niet-vertrouwde deel van de toepassing zou worden gebruikt. Als uw container echter meer dan beschikbaar EPC-geheugen verbruikt, kunnen de prestaties van het deel van het programma dat in de enclave wordt uitgevoerd, worden beïnvloed.

Als u het EPC-geheugen in de werkknooppunten beter wilt beheren, kunt u het beheer van limieten op basis van EPC-geheugen via Kubernetes overwegen. Volg het onderstaande voorbeeld als referentie.

apiVersion: batch/v1
kind: Job
metadata:
  name: sgx-test
  labels:
    app: sgx-test
spec:
  template:
    metadata:
      labels:
        app: sgx-test
    spec:
      containers:
      - name: sgxtest
        image: oeciteam/sgx-test: 1.0
        resources:
          limits:
            sgx.intel.com/sgx_epc_mem_in_MiB: 10 # This limit will automatically place the job into confidential computing node. Alternatively, you can target deployment to node pools
      restartPolicy: Never
  backoffLimit: 0

Het totale beschikbare EPC-geheugen wordt gedeeld tussen de enclavetoepassingen in dezelfde VM's of werkknooppunten. Als uw toepassing meer dan beschikbaar EPC-geheugen gebruikt, kunnen de prestaties van de toepassing worden beïnvloed. Daarom raden we u aan om tolerantie per toepassing in te stellen in uw yaml-implementatiebestand om het beschikbare EPC-geheugen per werkknooppunten beter te beheren, zoals wordt weergegeven in de bovenstaande voorbeelden. U kunt er ook voor kiezen om omhoog te gaan op de VM-grootten van de werkknooppuntgroep of om meer knooppunten toe te voegen.

Op dit moment bieden DCsv2-SKU-VM's van Azure Confidential Computing ondersteuning voor één adresruimte voor het programma dat wordt uitgevoerd in een enclave. Eén proces is een huidige beperking die is ontworpen voor hoge beveiliging. Vertrouwelijke container enablers kunnen echter alternatieve implementaties hebben om deze beperking te overwinnen.

Nee Het product biedt ACC-invoegtoepassing die de (confcom) bevat, helpt u hierbij. Lees hier meer over de implementatiedetails.

Nee Als u aangepaste installaties wilt uitvoeren, wordt u aangeraden AKS-Engine Confidential Computing Worker Nodes-implementaties te kiezen.

Niet systeemeigen tijdens de initialisatie van enclaves, maar ja via attestation-proceshandtekening kan worden gevalideerd. Verw hier.

Met vertrouwelijke containers kunt u de enclavecode ondertekenen, maar niet de docker-container zelf. Met enclavecode (wat doorgaans uw kerntoepassingscode is in Java, Python enzovoort) kunt u verifiëren via attestation de MRSIGNER-details van de enclavecode voordat u de code en de uitvoeringsomgeving kunt vertrouwen via attestation-stroom.

Volgende stappen

Bekijk de pagina Vertrouwelijke containers voor meer informatie over vertrouwelijke containers.