Google, 기밀 컴퓨팅에 Kubernetes 지원 추가

TL; DR: 이제 Kubernetes를 실행할 수 있습니다. 컨피덴셜 VM Google에서.

Google 오늘(08.09.2020년 XNUMX월 XNUMX일, 약. 역자) 행사에 클라우드 넥스트 온에어 새로운 서비스 출시와 함께 제품 라인 확장을 발표했다.

Confidential GKE 노드는 Kubernetes에서 실행되는 워크로드에 더 많은 개인정보 보호를 추가합니다. 지난 XNUMX월 첫 번째 제품이 출시됐다. 컨피덴셜 VM, 현재 이러한 가상 머신은 이미 모든 사람이 공개적으로 사용할 수 있습니다.

기밀 컴퓨팅은 데이터를 처리하는 동안 암호화된 형식으로 저장하는 새로운 제품입니다. 클라우드 서비스 제공업체가 이미 데이터 안팎을 암호화했기 때문에 이는 데이터 암호화 체인의 마지막 링크입니다. 최근까지 데이터를 처리하면서 이를 복호화하는 작업이 필요했는데, 많은 전문가들은 이를 데이터 암호화 분야의 큰 구멍으로 보고 있다.

Google의 기밀 컴퓨팅 이니셔티브는 TEE(신뢰할 수 있는 실행 환경) 개념을 홍보하는 업계 그룹인 기밀 컴퓨팅 컨소시엄과의 협력을 기반으로 합니다. TEE는 로드된 데이터와 코드가 암호화되는 프로세서의 보안 부분입니다. 즉, 동일한 프로세서의 다른 부분에서 이 정보에 액세스할 수 없습니다.

Google의 기밀 VM은 보안 암호화 가상화 기술을 사용하여 실행되는 하이퍼바이저에서 가상 머신을 격리하는 AMD의 2세대 EPYC 프로세서에서 실행되는 NXNUMXD 가상 머신에서 실행됩니다. 워크로드, 분석, 인공 지능 훈련 모델 요청 등 데이터의 사용 여부에 관계없이 데이터가 암호화된 상태로 유지된다는 보장이 있습니다. 이러한 가상 머신은 은행 산업과 같은 규제 영역에서 민감한 데이터를 처리하는 모든 회사의 요구 사항을 충족하도록 설계되었습니다.

아마도 더 시급한 것은 Google이 다가오는 1.18 릴리스에 도입될 예정인 Confidential GKE 노드의 베타 테스트 발표일 것입니다. 구글 쿠버네티스 엔진 (GKE). GKE는 여러 컴퓨팅 환경에서 실행될 수 있는 최신 애플리케이션의 일부를 호스팅하는 컨테이너를 실행하기 위한 관리형 프로덕션 환경입니다. Kubernetes는 이러한 컨테이너를 관리하는 데 사용되는 오픈 소스 조정 도구입니다.

Confidential GKE 노드를 추가하면 GKE 클러스터를 실행할 때 개인정보 보호가 강화됩니다. 기밀 컴퓨팅 제품군에 새 제품을 추가할 때 우리는 새로운 수준의 정보를 제공하고 싶었습니다.
컨테이너화된 워크로드를 위한 개인 정보 보호 및 이식성. Google의 Confidential GKE 노드는 Confidential VM과 동일한 기술을 기반으로 구축되어 AMD EPYC 프로세서에서 생성 및 관리되는 노드별 암호화 키를 사용하여 메모리의 데이터를 암호화할 수 있습니다. 이러한 노드는 AMD의 SEV 기능을 기반으로 하는 하드웨어 기반 RAM 암호화를 사용합니다. 즉, 이러한 노드에서 실행되는 워크로드가 실행되는 동안 암호화됩니다.

Sunil Potti 및 Eyal Manor, Google 클라우드 엔지니어

Confidential GKE 노드에서 고객은 노드 풀이 Confidential VM에서 실행되도록 GKE 클러스터를 구성할 수 있습니다. 간단히 말해서, 이러한 노드에서 실행되는 모든 워크로드는 데이터가 처리되는 동안 암호화됩니다.

많은 기업에서는 공격자로부터 보호하기 위해 온프레미스에서 실행되는 온프레미스 워크로드보다 퍼블릭 클라우드 서비스를 사용할 때 더 많은 개인 정보 보호가 필요합니다. Google Cloud의 기밀 컴퓨팅 라인 확장은 사용자에게 GKE 클러스터에 보안을 제공할 수 있는 기능을 제공함으로써 이러한 기준을 높입니다. 그리고 그 인기를 감안할 때 Kubernetes는 업계에서 중요한 진전을 이루어 기업에 퍼블릭 클라우드에서 차세대 애플리케이션을 안전하게 호스팅할 수 있는 더 많은 옵션을 제공합니다.

Constellation Research의 분석가 Holger Mueller.

NB 우리 회사는 28월 30~XNUMX일에 업데이트된 집중 과정을 시작합니다. 쿠버네티스 베이스 아직 Kubernetes를 모르지만, Kubernetes에 대해 알아보고 작업을 시작하고 싶은 사람들을 위한 것입니다. 14월 16~XNUMX일에 진행된 이 이벤트 이후, 업데이트된 쿠버네티스 메가 최신 버전의 Kubernetes 및 가능한 "레이크"를 사용하는 데 있어 모든 최신 실용적인 솔루션을 아는 것이 중요한 숙련된 Kubernetes 사용자를 위한 것입니다. ~에 쿠버네티스 메가 우리는 애플리케이션의 보안 및 내결함성을 보장하기 위한 메커니즘인 프로덕션 지원 클러스터("쉽지 않은 방법")를 설치하고 구성하는 데 따른 복잡성을 이론적으로 분석하고 실제로 분석할 것입니다.

무엇보다도 Google은 자사의 Confidential VM이 오늘부터 일반 출시되면서 몇 가지 새로운 기능을 얻게 될 것이라고 밝혔습니다. 예를 들어, 각 기밀 VM 인스턴스에 대한 키를 생성하는 데 사용되는 AMD 보안 프로세서 펌웨어의 무결성 검사에 대한 자세한 로그가 포함된 감사 보고서가 나타났습니다.

또한 특정 액세스 권한을 설정하기 위한 더 많은 제어 기능이 있으며 Google은 특정 프로젝트에서 분류되지 않은 가상 머신을 비활성화하는 기능도 추가했습니다. 또한 Google은 보안을 제공하기 위해 Confidential VM을 다른 개인 정보 보호 메커니즘과 연결합니다.

방화벽 규칙 및 조직 정책 제한 사항이 포함된 공유 VPC를 조합하여 사용하면 Confidential VM이 다른 프로젝트에서 실행 중이더라도 다른 Confidential VM과 통신할 수 있습니다. 또한 VPC 서비스 제어를 사용하여 컨피덴셜 VM에 대한 GCP 리소스 범위를 설정할 수 있습니다.

수닐 포티와 에얄 매너

출처 : habr.com