你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

Azure 容器应用 中的机密计算

Azure 容器应用中的机密计算有助于在处理数据时保护容器化工作负荷。 在本文中，你将了解何时使用机密计算、如何使用专用工作负荷配置文件、如何为容器应用启用它以及如何验证应用是否在机密计算基础结构上运行。

Azure 容器应用中机密计算的优点

机密计算通过在处理数据时保护数据来补充Azure静态加密和传输中的加密。 在机密计算工作负荷配置文件上运行工作负荷时，你将获得：

  • 基于硬件的隔离是通过使用可信执行环境（TEEs）实现的。
  • 在工作负荷运行时对内存中的数据进行加密。
  • 防止对使用中的数据进行未经授权的访问，包括来自基础设施运营人员的访问。

Azure平台和基础机密 VM 基础结构提供并强制执行这些保证。 有关详细信息，请参阅 Azure 机密计算。

何时使用机密计算

在以下情况下，在Azure 容器应用中使用机密计算：

  • 工作负荷处理高度敏感或管控的数据。
  • 在处理数据时保护数据是一项要求。
  • 你需要机密计算的安全优势，而无需管理基础结构或修改应用程序代码。

机密计算的工作原理

您应在工作负载配置文件级别启用机密计算，而非在单个容器应用或修订版本级别。 将 DC 系列专用工作负荷配置文件添加到环境中时，分配给该配置文件的任何容器应用都会自动在机密 VM SKU 支持的机密计算基础结构上运行。

无需为每个应用或每个容器分别进行配置。 使用与非机密工作负荷相同的映像、工具和工作流部署容器应用。 不需要特殊的容器运行时配置或 SDK。

先决条件

在启用机密计算之前，请检查是否具有以下项：

  1. 受支持的区域中的 Azure 容器应用 环境。
  2. 一个使用 DC 系列工作负载配置文件类型的专用工作负载配置文件。
  3. 一个已分配 DC 系列工作负载配置文件的容器应用。

启用机密计算

以下示例创建具有 DC 系列工作负荷配置文件的容器应用环境，并部署分配给该配置文件的容器应用：

  1. 使用 DC 系列工作负载配置文件创建环境。

    az containerapp env create \
  --name <ENVIRONMENT_NAME> \
  --resource-group <RESOURCE_GROUP_NAME> \
  --location <SUPPORTED_REGION> \
  --workload-profile-type DC4 \
  --workload-profile-name my-wp-confidential

  2. 创建容器应用并将其分配到工作负荷配置文件。

    az containerapp create \
  --name <CONTAINER_APP_NAME> \
  --resource-group <RESOURCE_GROUP_NAME> \
  --environment <ENVIRONMENT_NAME> \
  --workload-profile-name my-wp-confidential \
  --image <CONTAINER_IMAGE>

该 --workload-profile-name my-wp-confidential 参数将应用分配到 DC 系列工作负荷配置文件，以便进行机密计算。

有关添加和管理工作负荷配置文件的步骤，请参阅使用 Azure CLI 管理工作负荷配置文件。

验证机密计算配置

使用此快速检查来确认该应用已分配给 DC 系列工作负载配置文件。

Azure CLI

  1. 获取分配给容器应用的工作负荷配置文件。

    az containerapp show \
  --name <CONTAINER_APP_NAME> \
  --resource-group <RESOURCE_GROUP_NAME> \
  --query properties.workloadProfileName \
  -o tsv

    示例输出：

    my-wp-confidential

  2. 获取环境中该配置文件的工作负载配置文件类型。

    az containerapp env workload-profile list \
  --name <ENVIRONMENT_NAME> \
  --resource-group <RESOURCE_GROUP_NAME> \
  --query "[].{name:name,workloadProfileType:workloadProfileType}"

    示例输出：

    [
  {
    "name": "my-wp-confidential",
    "workloadProfileType": "DC4"
  }
]

    在此示例中， my-wp-confidential 是一个示例配置文件名称。 您的个人资料名称可以不同。

如果分配给应用的配置文件中，workloadProfileType 的值以 DC 开头，例如 DC4 或 DC8，则该应用运行在机密计算基础架构上。

Azure 门户

  1. 在Azure门户中，转到容器应用。
  2. 在 “概述 ”页上，记下 “环境 ”值并转到该环境。
  3. 在容器应用环境中，转到 工作负荷配置文件。
  4. 查找应用所使用的工作负载配置文件，并验证配置文件类型和大小是否以 DC 开头，例如 DC4 或 DC8。

支持的工作负载配置文件

机密计算仅在 DC 系列专用工作负载配置文件上可用。 支持的大小包括：

  • DC4
  • DC8
  • DC16
  • DC32
  • DC48
  • DC64
  • DC96

这些工作负荷配置文件的可用性取决于区域。 并非所有具有 DC 系列配置文件的区域都支持机密计算。 有关可用机密计算的区域的当前列表，请参阅 支持的区域。

支持的区域

Azure 容器应用支持阿联酋北部区域的机密计算。 若要请求区域，请在 GitHub 上提交问题。

相关内容

  • 上次更新时间为