Google added support for Kubernetes in Confidential Computing

TL;DR: Nüüd saab Kubernetes'i käivitada Confidential VM-id Google'ilt.

Google teatab täna (08.09.2020, tõlkija märkus) üritusel Cloud Next OnAir uute teenuste käivitamisest.

Confidential GKE sõlmed lisavad rohkem privaatsust Kubernetes'is käitatavatele koormustele. Juulis käivitati esimene toode nimega Confidential VM-id, ja täna on need virtuaalsed masinad juba kõikidele kergesti kättesaadavad.

Confidential Computing on uuendus, mis eeldab andmete krüptimist nende töötlemise ajal. See on viimase etapi krüptimise kett, kuna pilveteenuse pakkujad krüpteerivad andmeid juba sisse- ja väljaminekul. Kuni hiljutise ajani tuli andmeid töötlemise ajal dekrüpteerida ja paljud spetsialistid näevad selles selget puudujääki andmete krüptimises.

Google'i Confidential Computing algatus põhineb koostööl Confidential Computing konsortsiumiga, tööstusgrupiga, mis edendab "usaldusväärsete täitmisringide" (Trusted Execution Environments, TEEs) kontseptsiooni. TEE on kaitstud protsessori osa, kus laaditud andmed ja kood on krüptitud, mis tähendab, et teiste protsessori osadele sellele teabele ligipääs on välistatud.

Google'i Confidential VM-id töötavad N2D virtuaalmasinatel, mis on käivitatud AMD teine ​​generatsioon EPYC protsessoritel, mis kasutavad Secure Encrypted Virtualization tehnoloogiat, mis võimaldab isoleerida virtuaalmasinad hüperviisorist, millel nad töötavad. Andmete krüpteerimise säilitamine on tagatud olenemata nende kasutamisest: koormused, analüüs, mudelite koolitamise päringud tehisintellekti jaoks. Need virtuaalsed masinad on loodud rahuldama igasuguste ettevõtete vajadusi, kes töötavad salajaste andmete kallal reguleeritud valdkondades, näiteks panganduses.

Tõenäoliselt on kõige olulisem kuulutus lähitulevikus Confidential GKE sõlmede beetatestsimise kohta, mis, Google'i sõnul, esitatakse järgmises versioonis 1.18 Google Kubernetes Engine (GKE). GKE on hallatav, tootmisvalmis keskkond konteinerite käivitamiseks, kus asuvad kaasaegsete rakenduste osad, mida saab käitada mitmesugustes arvutusümbritustes. Kubernetes on avatud lähtekoodiga orkestreerimise tööriist, mida kasutatakse nende konteinerite haldamiseks.

Confidential GKE sõlmede lisamine tagab GKE klastrite käivitamisel suurema konfidentsiaalsuse. Uue toote lisamisega Confidential Computing tooteportfelli soovisime pakkuda uut taset
konfidentsiaalsusest ja kantavusest konteineriseeritud koormuste jaoks. Google'i Confidential GKE sõlmed põhinevad samal tehnoloogial nagu Confidential VMs ning võimaldavad teil krüpteerida andmeid mälu sees unikaalse krüpteerimisvõtmega, mis genereeritakse ja mida haldab AMD EPYC protsessor. Sellised sõlmed kasutavad mälu krüpteerimist AMD SEV funktsiooni alusel, mis tähendab, et teie koormused, mis töötavad sellistel sõlmedel, on töödeldes krüpteeritud.

Sunil Potti ja Eyal Manor, Google'i pilvetehnoloogia insenerid

Confidential GKE sõlmedes saavad kliendid kohandada GKE klastreid nii, et sõlmepoolsed basseinid töötavad Confidential VMs virtuaalmasinatel. Lihtsalt öeldes - kõik töökohustused, mis töötavad sellistel sõlmedel, on andmete töötlemise ajal krüpteeritud.

Paljudele ettevõtetele on avalike pilveteenuste kasutamisel vajalik rohkem konfidentsiaalsust kui kohalike koormuste käitamisel oma infrastruktuuris, et end küberkurjategijate eest kaitsta. Google Cloud laiendab oma Confidential Computing tooteportfelli, tõstes latu ja pakkudes kasutajatele võimalust tagada konfidentsiaalsus GKE klastrite jaoks. Arvestades Kubernetes'e populaarsust, on see oluline edusamm tööstuses, mis annab ettevõtetele rohkem võimalusi järgmise põlvkonna rakenduste turvaliseks majutamiseks avalikus pilves.

Holger Mueller, Constellation Research'i analüütik.

Märkus. Meie ettevõte korraldab 28.-30. septembril uuendatud intensiivkursuse Kubernetes Põhi nendele, kes ei tunne Kuberneteset, kuid soovivad sellega tutvuda ja alustada tööd. Pärast seda üritust, 14.–16. oktoobril, käivitame uuendatud Kubernetes Mega kogenud Kubernetes'i kasutajatele, kelle jaoks on oluline teada kõiki viimaseid praktilisi lahendusi Kubernetes'e uusimate versioonide kasutamisel ja võimalikke „kurja” kohti. Meie Kubernetes Mega kaevame teoorias ja praktikas välja tootmisvalmiduse klastri installimise ja konfigureerimise nüansid („the-not-so-easy-way”), rakenduste turvalisuse ja jätkusuutlikkuse tagamise mehhanismid.

Lisaks teatas Google, et nende Confidential VMs saavad alates tänasest mõned uued funktsioonid, kui need muutuvad avalikuks. Näiteks on saadaval auditiaruanded, mis sisaldavad üksikasjalikke logisid AMD Secure Processori, mida kasutatakse iga Confidential VM-i võtmete genereerimiseks, terviklikkuse kontrollimise kohta.

Samuti on saadaval rohkem juhtsemeid konkreetsete juurdepääsuõiguste määramiseks, ning Google on lisanud võimaluse keelata mis tahes mitte-confidential virtuaalmasin määratud projekti raames. Lisaks ühendab Google Confidential VM-id teiste konfidentsiaalsuse tagamise mehhanismidega turvalisuse tagamiseks.

Saate kasutada ühiseid VPC-sid koos tulemüürireeglite ja poliitikapiirangutega, et tagada Confidential VM-ide andmevahetus, isegi kui need töötavad erinevates projektides. Lisaks saate kasutada VPC Service Controls'i, et määrata GCP resursside ulatust oma Confidential VM-idele.

Sunil Potti ja Eyal Manor

Allikas: habr.com