TL;DR: Nu kan Kubernetes køre på fra Google.
Google meddelte i dag (08.09.2020, oversætterens bemærkning) på arrangementet om udvidelsen af sin produktlinje med lanceringen af en ny service.
Confidential GKE-noder tilføjer endnu større fortrolighed til belastninger, der kører i Kubernetes. I juli blev det første produkt under navnet , og i dag er disse virtuelle maskiner allerede tilgængelige for alle.
Confidential Computing er en nyhed, der indebærer lagring af data i krypteret form under behandling. Det er det sidste led i kæden af datakryptering, da udbydere af cloud-tjenester allerede krypterer data ved ind- og udgang. Indtil for nylig måtte data dekrypteres under behandling, og mange fagfolk ser dette som en tydelig svaghed i datakryptering.
Initiativet Confidential Computing fra Google er baseret på et samarbejde med konsortiet Confidential Computing, en branchegruppe dedikeret til fremme af konceptet 'trustede udførelsesmiljøer' (Trusted Execution Environments, TEEs). TEE er en beskyttet del af processoren, hvor indlæste data og kode er krypteret, hvilket betyder, at andre dele af den samme processor ikke kan få adgang til denne information.
Confidential VMs fra Google kører på N2D-virtuelle maskiner, der er drevet af AMD's anden generations EPYC-processorer, der bruger teknologien Secure Encrypted Virtualization, som muliggør isolering af virtuelle maskiner fra hypervisoren, de kører på. Der er garanti for, at data forbliver krypteret uanset deres brug: arbejdsbelastninger, analyser, anmodninger om træning af modeller til kunstig intelligens. Disse virtuelle maskiner er designet til at imødekomme behovene hos enhver virksomhed, der arbejder med følsomme data i regulerede områder, såsom finanssektoren.
En eventuelt mere presserende nyhed er annonceringen om det kommende beta-testning af Confidential GKE-noder, som ifølge Google vil blive præsenteret i den kommende version 1.18 (GKE). GKE er et administreret, produktionsklar miljø til kørsel af containere, der rummer dele af moderne applikationer, som kan køres i flere compute-miljøer. Kubernetes er et open source orkestreringsværktøj, der bruges til at administrere disse containere.
Tilføjelse af Confidential GKE-noder giver en højere grad af fortrolighed, når man kører GKE-klustre. Ved introduktionen af et nyt produkt inden for Confidential Computing ønskede vi at sikre et nyt niveau
af fortrolighed og bærbarhed for containeriserede arbejdsbelastninger. Confidential GKE-noder fra Google er baseret på den samme teknologi som Confidential VMs, hvilket gør det muligt for dig at kryptere data i hukommelsen ved hjælp af en unik krypteringsnøgle for hver node, der genereres og styres af AMD EPYC-processoren. Disse noder vil anvende hardware-kryptering af hukommelsen baseret på AMD's SEV-funktion, hvilket betyder, at dine arbejdsbelastninger, der kører på disse noder, vil være krypterede under drift.
Sunil Potti og Eyal Manor, cloud-teknologier, Google
På Confidential GKE-noder kan kunder konfigurere GKE-klustre, så nodeture køres på Confidential VMs. Med andre ord — alle arbejdsbelastninger, der kører på disse noder, vil være krypterede under databehandling.
Mange virksomheder har brug for endnu mere fortrolighed ved brug af offentlige cloud-tjenester end for lokale arbejdsbelastninger, der kører på deres egne faciliteter, hvilket er nødvendigt for at beskytte sig mod ondsindede aktører. Google Cloud, ved at udvide sin portefølje af Confidential Computing, hæver denne standard og giver brugerne mulighed for at sikre fortrolighed for GKE-klustre. Og i takt med Kubernetes' popularitet er dette et nøglefremskridt for branchen, som giver virksomhederne flere muligheder for sikkert at hoste næste generations applikationer i offentlige skyer.
Holger Mueller, analytiker, Constellation Research.
N.B. Virksomheden lancerer en opdateret intensivkursus fra den 28.-30. september for dem, der stadig ikke kender Kubernetes, men ønsker at lære om det og begynde at arbejde med det. Efter denne begivenhed den 14.-16. oktober lancerer vi en opdateret for erfarne Kubernetes-brugere, der er interesserede i at kende alle de seneste praktiske løsninger i arbejdet med de nyeste versioner af Kubernetes og potentielle "fælder". Vi vil i teori og praksis gennemgå detaljerne i installation og konfiguration af et production-ready cluster ("the-not-so-easy-way"), mekanismerne for sikkerhed og fejltolerance for applikationer.
Desuden har Google meddelt, at deres Confidential VMs vil få nogle nye funktioner, da de bliver offentligt tilgængelige fra dags dato. For eksempel er der nu revisionsrapporter, der indeholder detaljerede logfiler for integritetskontrollen af AMD Secure Processor, som bruges til at generere nøgler for hver instans af Confidential VMs.
Der er også tilføjet flere kontrolelementer til at angive specifikke adgangsrettigheder, og Google har tilføjet muligheden for at deaktivere enhver ikke-konfidential virtuel maskine i et angivet projekt. Desuden forbinder Google Confidential VMs med andre fortrolighedsmekanismer for at sikre sikkerheden.
Du kan bruge en kombination af delte VPC'er med firewall-regler og organisatoriske politikbegrænsninger for at sikre, at Confidential VMs kan udveksle data med andre Confidential VMs, selvom de kører i forskellige projekter. Derudover kan du anvende VPC Service Controls til at definere GCP-ressourceområderne for dine Confidential VMs.
Sunil Potti og Eyal Manor
Kilde: habr.com
