TL;DR: Ora puoi avviare Kubernetes su di Google.
Google ha annunciato oggi (08.09.2020, nota del traduttore) durante l'evento l'espansione della sua gamma di prodotti con il lancio di un nuovo servizio.
I nodi Confidential GKE aggiungono maggiore riservatezza ai carichi di lavoro eseguiti su Kubernetes. A luglio è stato lanciato il primo prodotto chiamato , e oggi queste macchine virtuali sono già disponibili al pubblico.
Il Confidential Computing è una novità che prevede l'archiviazione dei dati in forma crittografata durante il loro trattamento. Questo è l'ultimo anello nella catena di crittografia dei dati, poiché i fornitori di servizi cloud già crittografano i dati in fase di ingresso e uscita. Fino a poco tempo fa era necessario decrittografare i dati durante il loro processamento, e molti esperti vedono in questo una chiara lacuna nella crittografia dei dati.
L'iniziativa Confidential Computing di Google si basa su una collaborazione con il Consorzio Confidential Computing, un gruppo del settore per promuovere il concetto di "ambiente di esecuzione sicuro" (Trusted Execution Environments, TEEs). TEE è una parte protetta del processore in cui i dati e il codice caricati sono crittografati, il che significa che altre parti dello stesso processore non possono accedere a queste informazioni.
Le VM riservate di Google funzionano su macchine virtuali N2D, attivate su processori di seconda generazione EPYC di AMD, utilizzando la tecnologia Secure Encrypted Virtualization, che consente di isolare le macchine virtuali dall'hypervisor su cui operano. È garantito che i dati rimangano crittografati indipendentemente dal loro utilizzo: carichi di lavoro, analisi, richieste per l'addestramento di modelli per intelligenza artificiale. Queste macchine virtuali sono progettate per soddisfare le esigenze di qualsiasi azienda che gestisca dati sensibili in settori regolamentati, come il settore bancario.
più urgente è l'annuncio sul prossimo beta testing dei nodi Confidential GKE, che, secondo Google, saranno presentati nel prossimo rilascio 1.18 (GKE). GKE è un ambiente gestito, pronto per la produzione, per eseguire contenitori, all'interno dei quali sono ospitate parti delle moderne applicazioni, che possono essere eseguite in diversi ambienti di calcolo. Kubernetes è uno strumento di orchestrazione open source utilizzato per gestire questi contenitori.
L'aggiunta di nodi Confidential GKE offre una maggiore riservatezza durante il lancio dei cluster GKE. Con l'introduzione di un nuovo prodotto nella linea di Confidential Computing, volevamo garantire un nuovo livello
di riservatezza e portabilità per i carichi di lavoro containerizzati. I nodi Confidential GKE di Google sono basati sulla stessa tecnologia delle Confidential VMs, consentendo di crittografare i dati in memoria con una chiave di crittografia unica per ogni nodo, creata e gestita dal processore AMD EPYC. Tali nodi utilizzeranno la crittografia hardware della memoria in base alla funzionalità SEV di AMD, il che significa che i vostri carichi di lavoro eseguiti su tali nodi saranno crittografati durante il loro funzionamento.
Sunil Potti ed Eyal Manor, ingegneri delle tecnologie cloud, Google
Sui nodi Confidential GKE, i clienti possono configurare i cluster GKE in modo che i pool di nodi siano eseguiti su macchine virtuali Confidential VMs. In poche parole, qualsiasi carico di lavoro eseguito su tali nodi sarà crittografato durante l'elaborazione dei dati.
Molte aziende hanno bisogno di una maggiore riservatezza nell'uso dei servizi cloud pubblici rispetto ai carichi di lavoro locali eseguiti sulle proprie infrastrutture, il che è necessario per proteggersi dagli attaccanti. Google Cloud, ampliando la sua gamma di Confidential Computing, alza questo standard fornendo agli utenti la possibilità di garantire riservatezza per i cluster GKE. Considerando la popolarità di Kubernetes, questo è un passo fondamentale per l'industria, offrendo alle aziende maggiori opportunità per ospitare in sicurezza le applicazioni di nuova generazione nel cloud pubblico.
Holger Mueller, analista di Constellation Research.
N.B. La nostra azienda lancerà un intenso aggiornamento dal 28 al 30 settembre per coloro che non conoscono ancora Kubernetes, ma desiderano avvicinarsi e iniziare a lavorare. Dopo questo evento, dal 14 al 16 ottobre, lanceremo un aggiornamento per utenti esperti di Kubernetes, che è importante conoscere tutte le ultime soluzioni pratiche nel lavoro con le ultime versioni di Kubernetes e le possibili "insidie". Su esamineremo in teoria e pratica le complessità dell'installazione e configurazione di un cluster production-ready («the-not-so-easy-way»), i meccanismi per garantire la sicurezza e la resilienza delle applicazioni.
Inoltre, Google ha annunciato che le sue Confidential VMs riceveranno nuove funzionalità, poiché diventano pubbliche a partire da oggi. Ad esempio, sono disponibili report di audit che contengono dettagliati registri di verifica dell'integrità del AMD Secure Processor, utilizzato per generare le chiavi per ogni istanza di Confidential VMs.
Sono anche stati aggiunti più elementi di controllo per definire diritti di accesso specifici, e Google ha introdotto la possibilità di disattivare qualsiasi macchina virtuale non confidenziale in un progetto specifico. Inoltre, Google collega le Confidential VMs con altri meccanismi di protezione della riservatezza per garantire la sicurezza.
Puoi utilizzare una combinazione di VPC condivisi con regole firewall e restrizioni di policy per garantire che le Confidential VMs possano scambiarsi dati con altre Confidential VMs, anche se operano in progetti diversi. Inoltre, puoi utilizzare VPC Service Controls per definire l'ambito delle risorse GCP per le tue Confidential VMs.
Sunil Potti ed Eyal Manor
Fonte: habr.com
