Google ເພີ່ມການຮອງຮັບ Kubernetes ໃຫ້ກັບຄອມພິວເຕີທີ່ເປັນຄວາມລັບ

TL; DR: ຕອນນີ້ທ່ານສາມາດເປີດໃຊ້ Kubernetes ໄດ້ແລ້ວ VMs ທີ່ເປັນຄວາມລັບ ຈາກ Google.

Google ມື້ນີ້ (08.09.2020/XNUMX/XNUMX, ປະມານ ນັກແປ) ໃນ​ງານ​ Cloud Next OnAir ປະກາດການຂະຫຍາຍສາຍຜະລິດຕະພັນຂອງຕົນດ້ວຍການເປີດຕົວບໍລິການໃຫມ່.

ໂນດ GKE ທີ່ເປັນຄວາມລັບຈະເພີ່ມຄວາມເປັນສ່ວນຕົວໃຫ້ກັບວຽກທີ່ເຮັດວຽກຢູ່ໃນ Kubernetes. ໃນເດືອນກໍລະກົດ, ຜະລິດຕະພັນທໍາອິດໄດ້ເປີດຕົວເອີ້ນວ່າ VMs ທີ່ເປັນຄວາມລັບ, ແລະໃນມື້ນີ້ເຄື່ອງ virtual ເຫຼົ່ານີ້ແມ່ນມີແລ້ວສາທາລະນະສໍາລັບທຸກຄົນ.

Confidential Computing ແມ່ນຜະລິດຕະພັນໃຫມ່ທີ່ກ່ຽວຂ້ອງກັບການເກັບຮັກສາຂໍ້ມູນໃນຮູບແບບທີ່ຖືກເຂົ້າລະຫັດໃນຂະນະທີ່ມັນກໍາລັງດໍາເນີນການ. ນີ້ແມ່ນການເຊື່ອມຕໍ່ສຸດທ້າຍໃນລະບົບຕ່ອງໂສ້ການເຂົ້າລະຫັດຂໍ້ມູນ, ເພາະວ່າຜູ້ໃຫ້ບໍລິການຄລາວໄດ້ເຂົ້າລະຫັດຂໍ້ມູນເຂົ້າ ແລະ ອອກແລ້ວ. ຈົນກ່ວາບໍ່ດົນມານີ້, ມັນຈໍາເປັນຕ້ອງໄດ້ຖອດລະຫັດຂໍ້ມູນຍ້ອນວ່າມັນໄດ້ຖືກປະມວນຜົນ, ແລະຜູ້ຊ່ຽວຊານຈໍານວນຫຼາຍເຫັນວ່ານີ້ເປັນຂຸມ glazing ໃນພາກສະຫນາມຂອງການເຂົ້າລະຫັດຂໍ້ມູນ.

ຂໍ້ລິເລີ່ມຄອມພິວເຕີຄວາມລັບຂອງ Google ແມ່ນອີງໃສ່ການຮ່ວມມືກັບ Confidential Computing Consortium, ກຸ່ມອຸດສາຫະກໍາເພື່ອສົ່ງເສີມແນວຄວາມຄິດຂອງສະພາບແວດລ້ອມການປະຕິບັດທີ່ເຊື່ອຖືໄດ້ (TEEs). TEE ແມ່ນສ່ວນທີ່ປອດໄພຂອງໂປເຊດເຊີທີ່ຂໍ້ມູນທີ່ໂຫລດແລະລະຫັດຖືກເຂົ້າລະຫັດ, ຊຶ່ງຫມາຍຄວາມວ່າຂໍ້ມູນນີ້ບໍ່ສາມາດເຂົ້າເຖິງໄດ້ໂດຍພາກສ່ວນອື່ນໆຂອງໂປເຊດເຊີດຽວກັນ.

Google's Confidential VMs ແລ່ນຢູ່ໃນເຄື່ອງ virtual N2D ທີ່ແລ່ນຢູ່ໃນໂປເຊດເຊີ EPYC ຮຸ່ນທີສອງຂອງ AMD, ເຊິ່ງໃຊ້ເຕັກໂນໂລຢີ Secure Encrypted Virtualization ເພື່ອແຍກເຄື່ອງ virtual ຈາກ hypervisor ທີ່ມັນແລ່ນ. ມີການຮັບປະກັນວ່າຂໍ້ມູນຍັງຄົງຖືກເຂົ້າລະຫັດໂດຍບໍ່ຄໍານຶງເຖິງການນໍາໃຊ້ຂອງມັນ: ວຽກງານ, ການວິເຄາະ, ການຮ້ອງຂໍໃຫ້ມີຮູບແບບການຝຶກອົບຮົມສໍາລັບປັນຍາປະດິດ. ເຄື່ອງຈັກສະເໝືອນເຫຼົ່ານີ້ຖືກອອກແບບເພື່ອຕອບສະໜອງຄວາມຕ້ອງການຂອງບໍລິສັດໃດນຶ່ງທີ່ຈັດການຂໍ້ມູນທີ່ລະອຽດອ່ອນໃນເຂດທີ່ມີການຄວບຄຸມເຊັ່ນ: ອຸດສາຫະກຳທະນາຄານ.

ບາງທີຄວາມກົດດັນຫຼາຍແມ່ນການປະກາດການທົດສອບເບຕ້າທີ່ຈະມາເຖິງຂອງ Confidential GKE nodes, ເຊິ່ງ Google ກ່າວວ່າຈະຖືກນໍາສະເຫນີໃນການປ່ອຍ 1.18 ທີ່ຈະມາເຖິງ. ເຄື່ອງຈັກ Google Kubernetes (GKE). GKE ແມ່ນສະພາບແວດລ້ອມທີ່ມີການຄຸ້ມຄອງ, ພ້ອມທີ່ຈະຜະລິດສໍາລັບການແລ່ນພາຊະນະທີ່ເປັນເຈົ້າພາບພາກສ່ວນຂອງຄໍາຮ້ອງສະຫມັກທີ່ທັນສະໄຫມທີ່ສາມາດດໍາເນີນການໃນທົ່ວສະພາບແວດລ້ອມຄອມພິວເຕີຫຼາຍ. Kubernetes ແມ່ນເຄື່ອງມື Orchestration ແຫຼ່ງເປີດທີ່ໃຊ້ເພື່ອຈັດການບັນຈຸເຫຼົ່ານີ້.

ການເພີ່ມຂໍ້ GKE ທີ່ເປັນຄວາມລັບໃຫ້ຄວາມເປັນສ່ວນຕົວຫຼາຍຂຶ້ນເມື່ອແລ່ນກຸ່ມ GKE. ໃນເວລາທີ່ເພີ່ມຜະລິດຕະພັນໃຫມ່ໃນສາຍຄອມພິວເຕີ້ຄວາມລັບ, ພວກເຮົາຕ້ອງການໃຫ້ລະດັບໃຫມ່ຂອງ
ຄວາມ​ເປັນ​ສ່ວນ​ຕົວ​ແລະ​ການ​ເຄື່ອນ​ໄຫວ​ສໍາ​ລັບ​ການ​ບັນ​ທຸກ​ວຽກ​ເຮັດ​ງານ​ທໍາ​. ໂນດ GKE ທີ່ເປັນຄວາມລັບຂອງ Google ຖືກສ້າງຂຶ້ນໃນເທກໂນໂລຍີດຽວກັນກັບ VMs ທີ່ເປັນຄວາມລັບ, ຊ່ວຍໃຫ້ທ່ານສາມາດເຂົ້າລະຫັດຂໍ້ມູນໃນຫນ່ວຍຄວາມຈໍາໂດຍໃຊ້ລະຫັດການເຂົ້າລະຫັດສະເພາະຂອງໂນດທີ່ສ້າງແລະຈັດການໂດຍໂປເຊດເຊີ AMD EPYC. nodes ເຫຼົ່ານີ້ຈະໃຊ້ການເຂົ້າລະຫັດ RAM ທີ່ອີງໃສ່ຮາດແວໂດຍອີງໃສ່ຄຸນນະສົມບັດ SEV ຂອງ AMD, ຊຶ່ງຫມາຍຄວາມວ່າວຽກງານຂອງທ່ານທີ່ເຮັດວຽກຢູ່ໃນ nodes ເຫຼົ່ານີ້ຈະຖືກເຂົ້າລະຫັດໃນຂະນະທີ່ພວກເຂົາເຮັດວຽກ.

Sunil Potti ແລະ Eyal Manor, Cloud Engineers, Google

ໃນ nodes GKE ທີ່ເປັນຄວາມລັບ, ລູກຄ້າສາມາດຕັ້ງຄ່າກຸ່ມ GKE ເພື່ອໃຫ້ node pools ເຮັດວຽກຢູ່ໃນ Confidential VMs. ເວົ້າງ່າຍໆ, ທຸກໆວຽກທີ່ເຮັດວຽກຢູ່ໃນ nodes ເຫຼົ່ານີ້ຈະຖືກເຂົ້າລະຫັດໃນຂະນະທີ່ຂໍ້ມູນຖືກປະມວນຜົນ.

ວິສາຫະກິດຈໍານວນຫຼາຍຕ້ອງການຄວາມເປັນສ່ວນຕົວຫຼາຍກວ່າເກົ່າເມື່ອໃຊ້ບໍລິການ cloud ສາທາລະນະຫຼາຍກ່ວາພວກເຂົາເຮັດສໍາລັບວຽກຢູ່ໃນສະຖານທີ່ເຮັດວຽກຢູ່ໃນສະຖານທີ່ເພື່ອປົກປ້ອງຜູ້ໂຈມຕີ. ການຂະຫຍາຍຕົວຂອງສາຍຄອມພິວເຕີທີ່ເປັນຄວາມລັບຂອງ Google Cloud ເຮັດໃຫ້ເກີດແຖບນີ້ໂດຍການໃຫ້ຜູ້ໃຊ້ມີຄວາມສາມາດສະໜອງຄວາມລັບໃຫ້ກັບກຸ່ມ GKE. ແລະໄດ້ຮັບຄວາມນິຍົມຂອງຕົນ, Kubernetes ເປັນບາດກ້າວທີ່ສໍາຄັນຕໍ່ອຸດສາຫະກໍາ, ໃຫ້ບໍລິສັດມີທາງເລືອກເພີ່ມເຕີມໃນການເປັນເຈົ້າພາບຄໍາຮ້ອງສະຫມັກຮຸ່ນຕໍ່ໄປຢ່າງປອດໄພຢູ່ໃນສາທາລະນະຟັງ.

Holger Mueller, ນັກວິເຄາະຂອງ Constellation Research.

NB ບໍລິສັດຂອງພວກເຮົາແມ່ນໄດ້ເປີດຫຼັກສູດການປັບປຸງໃຫມ່ໃນວັນທີ 28-30 ກັນຍາ ຖານ Kubernetes ສໍາລັບຜູ້ທີ່ຍັງບໍ່ທັນຮູ້ຈັກ Kubernetes, ແຕ່ຕ້ອງການທີ່ຈະຮູ້ຈັກກັບມັນແລະເລີ່ມຕົ້ນການເຮັດວຽກ. ແລະຫຼັງຈາກເຫດການນີ້ໃນວັນທີ 14-16 ເດືອນຕຸລາ, ພວກເຮົາກໍາລັງເປີດຕົວການປັບປຸງ Kubernetes Mega ສໍາລັບຜູ້ໃຊ້ Kubernetes ທີ່ມີປະສົບການ, ມັນເປັນສິ່ງສໍາຄັນທີ່ຈະຮູ້ທຸກວິທີແກ້ໄຂການປະຕິບັດຫລ້າສຸດໃນການເຮັດວຽກກັບ Kubernetes ຮຸ່ນຫຼ້າສຸດແລະ "rake" ທີ່ເປັນໄປໄດ້. ສຸດ Kubernetes Mega ພວກເຮົາຈະວິເຄາະໃນທາງທິດສະດີ ແລະໃນການປະຕິບັດຄວາມຊັບຊ້ອນຂອງການຕິດຕັ້ງ ແລະການຕັ້ງຄ່າກຸ່ມທີ່ກຽມພ້ອມໃນການຜະລິດ ("ວິທີທີ່ບໍ່ງ່າຍ"), ກົນໄກການຮັບປະກັນຄວາມປອດໄພ ແລະຄວາມຜິດພາດຂອງແອັບພລິເຄຊັນ.

ໃນບັນດາສິ່ງອື່ນໆ, Google ກ່າວວ່າ VMs ທີ່ເປັນຄວາມລັບຂອງຕົນຈະໄດ້ຮັບຄຸນສົມບັດໃຫມ່ບາງຢ່າງຍ້ອນວ່າພວກມັນມີຢູ່ທົ່ວໄປຕັ້ງແຕ່ມື້ນີ້. ຕົວຢ່າງ, ບົດລາຍງານການກວດສອບປະກົດວ່າມີບັນທຶກລາຍລະອຽດຂອງການກວດສອບຄວາມສົມບູນຂອງ firmware AMD Secure Processor ທີ່ໃຊ້ເພື່ອສ້າງລະຫັດສໍາລັບແຕ່ລະຕົວຢ່າງຂອງ Confidential VMs.

ຍັງມີການຄວບຄຸມເພີ່ມເຕີມສໍາລັບການກໍານົດສິດການເຂົ້າເຖິງສະເພາະ, ແລະ Google ຍັງໄດ້ເພີ່ມຄວາມສາມາດໃນການປິດການໃຊ້ງານເຄື່ອງ virtual ທີ່ບໍ່ມີການຈັດປະເພດຢູ່ໃນໂຄງການໃດຫນຶ່ງ. Google ຍັງເຊື່ອມຕໍ່ VMs ທີ່ເປັນຄວາມລັບກັບກົນໄກຄວາມເປັນສ່ວນຕົວອື່ນໆເພື່ອໃຫ້ຄວາມປອດໄພ.

ທ່ານສາມາດນໍາໃຊ້ການລວມກັນຂອງ VPCs ທີ່ໃຊ້ຮ່ວມກັນກັບກົດລະບຽບຂອງ Firewall ແລະຂໍ້ຈໍາກັດນະໂຍບາຍຂອງອົງການຈັດຕັ້ງເພື່ອຮັບປະກັນວ່າ VMs ທີ່ເປັນຄວາມລັບສາມາດສື່ສານກັບ VMs ທີ່ເປັນຄວາມລັບອື່ນໆ, ເຖິງແມ່ນວ່າພວກເຂົາກໍາລັງດໍາເນີນການໃນໂຄງການທີ່ແຕກຕ່າງກັນ. ນອກຈາກນັ້ນ, ທ່ານສາມາດນໍາໃຊ້ການຄວບຄຸມການບໍລິການ VPC ເພື່ອກໍານົດຂອບເຂດຊັບພະຍາກອນ GCP ສໍາລັບ VMs ທີ່ເປັນຄວາມລັບຂອງທ່ານ.

Sunil Potti ແລະ Eyal Manor

ແຫຼ່ງຂໍ້ມູນ: www.habr.com