TL;DR: Nyní můžete spustit Kubernetes na od Google.
Společnost Google dnes (08.09.2020, pozn. překladatele) na akci oznámila rozšíření své produktové řady uvedením nové služby.
Uzly Confidential GKE přidávají více soukromí zátěžím spuštěným v Kubernetes. V červenci byla uvedena první produkt pod názvem , a dnes jsou tyto virtuální stroje již dostupné všem.
Confidential Computing je novinkou, která předpokládá uchovávání dat v šifrované podobě během jejich zpracování. To je poslední článek v řetězci šifrování dat, protože poskytovatelé cloudových služeb již šifrují data při vstupu a výstupu. Do nedávné doby bylo nutné data při jejich zpracování dešifrovat, a mnozí odborníci vidí v tom jasnou mezeru v oblasti šifrování dat.
Iniciativa Confidential Computing od Google je založena na spolupráci s konsorciem Confidential Computing, průmyslovou skupinou pro propagaci konceptu "důvěryhodných prostředí pro vykonávání" (Trusted Execution Environments, TEEs). TEE je chráněná část procesoru, ve které jsou nahraná data a kód šifrována, což znamená, že k těmto informacím nemohou mít přístup jiné části tohoto samotného procesoru.
Confidential VMs od Google běží na virtuálních strojích N2D, spuštěných na procesorech druhé generace EPYC společnosti AMD, které využívají technologii Secure Encrypted Virtualization, umožňující isolaci virtuálních strojů od hypervizoru, na kterém běží. Je zaručeno, že data zůstávají šifrovaná bez ohledu na jejich využití: pracovní zátěže, analýzy, požadavky na školení modelů pro umělou inteligenci. Tyto virtuální stroje jsou navrženy tak, aby splnily potřeby jakékoli společnosti, která pracuje s citlivými daty v regulovaných oblastech, například v bankovním sektoru.
Možná je nejpalčivější oznámení o nadcházejícím beta testování uzlů Confidential GKE, které, podle Google, budou představeny v nadcházející verzi 1.18 (GKE). GKE je spravované, výrobně připravené prostředí pro spuštění kontejnerů, ve kterých jsou umístěny části moderních aplikací, které lze spouštět v několika výpočetních prostředích. Kubernetes je nástroj pro orchestrace s otevřeným zdrojovým kódem, který se používá k řízení těchto kontejnerů.
Přidání uzlů Confidential GKE zajišťuje vyšší úroveň důvěrnosti při spuštění clusterů GKE. Při přidávání nového produktu do řady Confidential Computing jsme chtěli zajistit novou úroveň
důvěrnosti a přenositelnosti pro kontejnerizované zatížení. Uzly Confidential GKE od Google jsou postaveny na stejné technologii jako Confidential VMs, umožňují šifrování dat v paměti pomocí jedinečného klíče šifrování pro každý uzel, který je vytvářen a spravován procesorem AMD EPYC. Tyto uzly budou používat hardwarové šifrování paměti na základě funkce SEV od společnosti AMD, což znamená, že vaše pracovní zatížení prováděné na těchto uzlech budou šifrována během zpracování.
Sunil Potti a Eyal Manor, inženýři cloudových technologií, Google
Na uzlech Confidential GKE mohou klienti nastavit clustry GKE tak, že uzlové pooly budou spuštěny na virtuálních strojích Confidential VMs. Jinými slovy — jakékoli pracovní zatížení prováděné na těchto uzlech bude šifrováno během zpracování dat.
Mnoha podnikům je zapotřebí ještě větší důvěrnosti při používání veřejných cloudových služeb, než pro lokální pracovní zatížení, která jsou spuštěna na jejich vlastních zdrojích, což je nezbytné pro ochranu před zloději. Google Cloud zvyšuje tuto úroveň rozšířením své řady Confidential Computing, což uživatelům umožňuje zajistit důvěrnost pro clustry GKE. A vzhledem k popularitě Kubernetes je to klíčový krok vpřed pro odvětví, který firmám dává více možností pro bezpečné nasazení aplikací další generace ve veřejném cloudu.
Holger Mueller, analytik společnosti Constellation Research.
N.B. Naše společnost pořádá od 28. do 30. září obnovený intenzivní kurz pro ty, kteří ještě neznají Kubernetes, ale chtějí se s ním seznámit a začít pracovat. Po této akci, od 14. do 16. října, spouštíme obnovený kurz pro pokročilé uživatele Kubernetes, kteří chtějí znát všechna nejnovější praktická řešení související s posledními verzemi Kubernetes a možné 'nástrahy'. Na kurzu se budeme v teorii a praxi zabývat detaily instalace a konfigurace clusteru připraveného na produkci ('the-not-so-easy-way'), mechanismy zajištění bezpečnosti a odolnosti aplikací.
Kromě jiného Google oznámil, že jeho Confidential VMs získají nové funkce, protože se od dnešního dne stávají veřejně dostupnými. Například se objevily zprávy o auditech, které obsahují podrobné protokoly kontroly integrity firmwaru AMD Secure Processor, používaného k vytváření klíčů pro každou instanci Confidential VMs.
Také byly přidány další prvky pro nastavení konkrétních přístupových práv a Google přidal možnost deaktivace jakékoli veřejné virtuální počítače na zadaném projektu. Dále Google propojuje Confidential VMs s jinými mechanismy zabezpečení pro zajištění bezpečnosti.
Můžete využít kombinaci sdílených VPC s pravidly firewall a omezeními organizační politiky pro zajištění, že Confidential VMs mohou sdílet data s jinými Confidential VMs, i když běží v různých projektech. Kromě toho můžete využít VPC Service Controls k určení rozsahu GCP zdrojů pro vaše Confidential VMs.
Sunil Potti a Eyal Manor
Zdroj: habr.com
