Google ajoute le support de Kubernetes dans Confidential Computing

TL;DR: Vous pouvez maintenant exécuter Kubernetes sur VDMs Confidentielles de Google.

Google a annoncé aujourd'hui (08.09.2020, note du traducteur) lors de l'événement Cloud Next OnAir le lancement d'un nouveau service qui élargit sa gamme de produits.

Les nœuds Confidential GKE ajoutent plus de confidentialité aux charges de travail exécutées sur Kubernetes. Le premier produit, appelé VDMs Confidentielles, a été lancé en juillet, et aujourd'hui ces machines virtuelles sont déjà accessibles au public.

Le Confidential Computing est une nouvelle innovation permettant de stocker des données sous forme chiffrée pendant leur traitement. C'est le dernier maillon de la chaîne de chiffrement des données, car les fournisseurs de services cloud chiffrent déjà les données à l'entrée et à la sortie. Jusqu'à récemment, il fallait déchiffrer les données lors de leur traitement, et de nombreux experts voient cela comme une faille évidente dans le domaine du chiffrement des données.

L'initiative Confidential Computing de Google repose sur une collaboration avec le consortium Confidential Computing, un groupe industriel visant à promouvoir le concept d'Environnements d'Exécution de Confiance (TEE). Un TEE est une partie protégée du processeur, où les données et le code chargés sont chiffrés, rendant impossible l'accès à ces informations par d'autres parties de ce même processeur.

Les VMs Confidentiales de Google fonctionnent sur des machines virtuelles N2D, basées sur les processeurs de deuxième génération EPYC d'AMD, utilisant la technologie de Virtualisation Chiffrée Sécurisée, permettant d'isoler les machines virtuelles de l'hyperviseur sur lequel elles s'exécutent. Il est garanti que les données restent chiffrées quel que soit leur utilisation : charges de travail, analyses, demandes pour l'entraînement de modèles d'intelligence artificielle. Ces machines virtuelles sont conçues pour répondre aux besoins de toute entreprise traitant des données sensibles dans des domaines réglementés, tels que le secteur bancaire.

Un autre point important est l'annonce du prochain test bêta des nœuds Confidential GKE, qui, selon Google, seront présentés dans la prochaine version 1.18 Google Kubernetes Engine (GKE). GKE est un environnement géré, prêt à être déployé en production pour exécuter des conteneurs, dans lesquels résident les parties des applications modernes, pouvant être exécutées dans plusieurs environnements informatiques. Kubernetes est un outil d'orchestration open source utilisé pour gérer ces conteneurs.

L'ajout de nœuds Confidential GKE offre une plus grande confidentialité lors du déploiement de clusters GKE. En ajoutant un nouveau produit à la gamme Confidential Computing, nous souhaitions offrir un nouveau niveau
de confidentialité et de portabilité pour les charges de travail conteneurisées. Les nœuds Confidential GKE de Google sont construits sur la même technologie que les Confidential VMs, vous permettant de chiffrer les données en mémoire à l'aide d'une clé de chiffrement unique générée et gérée par le processeur AMD EPYC. Ces nœuds utiliseront le chiffrement matériel de la mémoire vive basé sur la fonction SEV d'AMD, ce qui signifie que vos charges de travail, exécutées sur ces nœuds, seront chiffrées pendant leur traitement.

Sunil Potti et Eyal Manor, ingénieurs en cloud, Google

Sur les nœuds Confidential GKE, les clients peuvent configurer des clusters GKE de telle manière que les pools de nœuds soient exécutés sur des machines virtuelles Confidential VMs. En d'autres termes, toutes les charges de travail exécutées sur ces nœuds seront chiffrées pendant le traitement des données.

De nombreuses entreprises nécessitent un niveau de confidentialité encore plus élevé lors de l'utilisation de services cloud publics, par rapport aux charges de travail locales exécutées sur leurs propres infrastructures, afin de se protéger contre les cybercriminels. Google Cloud, en élargissant sa gamme de Confidential Computing, élève cette barre en offrant aux utilisateurs la possibilité de garantir la confidentialité pour les clusters GKE. Et compte tenu de la popularité de Kubernetes, c'est une avancée clé pour l'industrie, offrant aux entreprises plus de possibilités pour déployer des applications de nouvelle génération en toute sécurité dans le cloud public.

Holger Mueller, analyste chez Constellation Research.

N.B. Notre entreprise lancera un bootcamp amélioré du 28 au 30 septembre Base Kubernetes pour ceux qui ne connaissent pas encore Kubernetes, mais qui souhaitent faire connaissance et commencer à travailler avec. Après cet événement, du 14 au 16 octobre, nous lancerons un autre Méga Kubernetes pour les utilisateurs expérimentés de Kubernetes qui souhaitent connaître toutes les dernières solutions pratiques concernant les dernières versions de Kubernetes et les pièges possibles. Nous examinerons en Méga Kubernetes théorie et en pratique les subtilités de l'installation et de la configuration d'un cluster prêt pour la production («the-not-so-easy-way»), les mécanismes de sécurité et de résilience des applications.

En plus de cela, Google a déclaré que ses Confidential VMs bénéficieraient de nouvelles fonctionnalités, car elles deviennent publiques dès aujourd'hui. Par exemple, des rapports d'audit sont désormais disponibles, contenant des journaux détaillés sur l'intégrité du firmware du processeur sécurisé AMD, utilisé pour créer des clés pour chaque instance de Confidential VMs.

De plus, davantage d'éléments de contrôle ont été ajoutés pour définir des droits d'accès spécifiques, et Google a également ajouté la possibilité de désactiver toute machine virtuelle non confidentielle dans un projet donné. Par ailleurs, Google connecte les Confidential VMs à d'autres mécanismes de sécurité pour garantir la sécurité.

Vous pouvez utiliser une combinaison de VPC publiques avec des règles de pare-feu et des restrictions de politique d'organisation pour vous assurer que les Confidential VMs peuvent échanger des données avec d'autres Confidential VMs, même si elles fonctionnent dans différents projets. De plus, vous pouvez utiliser VPC Service Controls pour définir une zone de ressources GCP pour vos Confidential VMs.

Sunil Potti et Eyal Manor

Source : habr.com