TL;DR: Jetzt kann Kubernetes auf von Google.
Google hat heute (08.09.2020, Anm. des Übersetzers) auf der Veranstaltung von der Erweiterung seiner Produktpalette durch die Einführung eines neuen Dienstes berichtet.
Vertrauliche GKE-Knoten fügen den in Kubernetes ausgeführten Workloads mehr Geheimhaltung hinzu. Im Juli wurde das erste Produkt mit dem Namen eingeführt, und heute sind diese virtuellen Maschinen bereits allgemein verfügbar.
Confidential Computing ist eine Neuheit, die die Speicherung von Daten während der Verarbeitung in verschlüsselter Form vorsieht. Dies ist das letzte Glied in der Kette der Datensicherung, da Cloud-Anbieter bereits Daten beim Eingang und Ausgang verschlüsseln. Bis vor kurzem mussten Daten während der Verarbeitung entschlüsselt werden, und viele Fachleute sehen darin ein offensichtliches Loch in der Datenverschlüsselung.
Die Initiative Confidential Computing von Google basiert auf einer Zusammenarbeit mit dem Konsortium Confidential Computing, einer Branchenorganisation zur Förderung des Konzepts der „Trusted Execution Environments“ (TEE). TEE ist ein geschützter Teil des Prozessors, in dem die geladenen Daten und der Code verschlüsselt sind, was bedeutet, dass andere Teile desselben Prozessors keinen Zugriff auf diese Informationen erlangen können.
Die vertraulichen VMs von Google laufen auf N2D-VMs, die auf AMDs zweiter Generation der EPYC-Prozessoren basieren und die Technologie zur Secure Encrypted Virtualization nutzen, die es ermöglicht, virtuelle Maschinen vom Hypervisor zu isolieren, auf dem sie laufen. Es wird garantiert, dass die Daten unabhängig von ihrer Nutzung verschlüsselt bleiben: Workloads, Analysen, Anfragen zum Training von KI-Modellen. Diese virtuellen Maschinen wurden entwickelt, um den Anforderungen jedes Unternehmens gerecht zu werden, das mit vertraulichen Daten in regulierten Bereichen, wie zum Beispiel in der Finanzbranche, arbeitet.
Des Weiteren ist die Ankündigung über die bevorstehende Beta-Testphase der Vertraulichen GKE-Knoten möglicherweise drängender, die laut Google in der bevorstehenden Version 1.18 eingeführt werden. (GKE). GKE ist eine verwaltete, produktionsbereite Umgebung zum Ausführen von Containern, in denen Teile moderner Anwendungen untergebracht sind, die in mehreren Rechenumgebungen ausgeführt werden können. Kubernetes ist ein Open-Source-Orchestrierungstool, das zur Verwaltung dieser Container verwendet wird.
Die Hinzufügung von Confidential GKE-Knoten bietet eine höhere Geheimhaltung beim Start von GKE-Clustern. Bei der Einführung eines neuen Produkts in der Reihe Confidential Computing wollten wir ein neues Niveau
von Geheimhaltung und Portabilität für containerisierte Workloads sicherstellen. Die Confidential GKE-Knoten von Google basieren auf der gleichen Technologie wie Confidential VMs und ermöglichen es Ihnen, Daten im Arbeitsspeicher mit einem einzigartigen pro Knoten erzeugten und vom AMD EPYC-Prozessor verwalteten Verschlüsselungsschlüssel zu verschlüsseln. Diese Knoten werden die Hardwareverschlüsselung des Arbeitsspeichers auf der Grundlage der SEV-Funktion von AMD verwenden, was bedeutet, dass Ihre Workloads, die auf diesen Knoten ausgeführt werden, während ihrer Ausführung verschlüsselt sind.
Sunil Potti und Eyal Manor, Cloud-Technologie-Ingenieure, Google
Auf Confidential GKE-Knoten können Kunden GKE-Cluster so konfigurieren, dass die Knotengruppen auf Confidential VMs ausgeführt werden. Einfacher ausgedrückt: Alle Workloads, die auf diesen Knoten ausgeführt werden, werden während der Datenverarbeitung verschlüsselt.
Viele Unternehmen benötigen eine noch höhere Geheimhaltung bei der Nutzung öffentlicher Cloud-Dienste als bei lokalen Workloads, die auf ihren eigenen Infrastrukturen ausgeführt werden, was erforderlich ist, um sich vor Angreifern zu schützen. Google Cloud hebt mit der Erweiterung seiner Confidential Computing-Reihe diese Messlatte und bietet Nutzern die Möglichkeit, Geheimhaltung für GKE-Cluster zu gewährleisten. Angesichts der Popularität von Kubernetes ist dies ein entscheidender Schritt vorwärts für die Branche, der Unternehmen mehr Möglichkeiten bietet, Anwendungen der nächsten Generation sicher in der öffentlichen Cloud zu hosten.
Holger Mueller, Analyst bei Constellation Research.
N.B. Unser Unternehmen startet vom 28. bis 30. September ein aktualisiertes Intensivseminar für diejenigen, die Kubernetes noch nicht kennen, aber es kennenlernen und anfangen möchten zu arbeiten. Und nach dieser Veranstaltung vom 14. bis 16. Oktober führen wir ein aktualisiertes Seminar für erfahrene Kubernetes-Nutzer durch, denen es wichtig ist, alle neuesten praktischen Lösungen für die Arbeit mit den letzten Versionen von Kubernetes und mögliche „Fallstricke“ zu kennen. Auf der Veranstaltung werden wir theoretisch und praktisch die Feinheiten der Installation und Konfiguration eines produktionsbereiten Clusters („the-not-so-easy-way“), Mechanismen zur Gewährleistung der Sicherheit und Ausfallsicherheit von Anwendungen behandeln.
Google hat unter anderem bekannt gegeben, dass ihre Confidential VMs ab heute einige neue Funktionen erhalten, da sie öffentlich zugänglich werden. So sind beispielsweise Audit-Berichte verfügbar, die detaillierte Prüfprotokolle zur Integrität des AMD Secure Processor enthalten, der zur Erstellung von Schlüsseln für jede Instanz von Confidential VMs verwendet wird.
Es wurden auch mehr Steuerelemente hinzugefügt, um spezifische Zugriffsrechte festzulegen, und Google hat die Möglichkeit eingeführt, jede nicht vertrauliche virtuelle Maschine in einem bestimmten Projekt zu deaktivieren. Zudem verbindet Google Confidential VMs mit anderen Mechanismen zur Gewährleistung der Geheimhaltung, um die Sicherheit zu erhöhen.
Sie können eine Kombination aus Shared VPC mit Firewall-Regeln und Organisationsrichtlinien verwenden, um sicherzustellen, dass Confidential VMs Daten mit anderen Confidential VMs austauschen können, selbst wenn sie in verschiedenen Projekten betrieben werden. Darüber hinaus können Sie VPC Service Controls nutzen, um den GCP-Ressourcenbereich für Ihre Confidential VMs festzulegen.
Sunil Potti und Eyal Manor
Quelle: habr.com
