ProHoster > Blogs > Administrācija > Google pievienojusi atbalstu Kubernetes konfidenciālajā datu apstrādē

Google pievienojusi atbalstu Kubernetes konfidenciālajā datu apstrādē

TL;DR: Tagad var uzsākt Kubernetes uz Konfidenciālas VM no Google.

Google pievienojusi atbalstu Kubernetes konfidenciālajā datu apstrādē

Google Å”odien (08.09.2020, piezÄ«me tulkotājam) pasākumā Cloud Next OnAir paziņoja par savu produktu klāsta paplaÅ”ināŔanu, uzsākot jaunu pakalpojumu.

Konfidenciālie GKE mezgli pievieno lielāku noslēpumainÄ«bu slodzēm, kas tiek palaistas Kubernetes. JÅ«lijā tika uzsākts pirmais produkts ar nosaukumu Konfidenciālas VM, bet Å”odien Ŕīs virtuālās maŔīnas jau ir pieejamas visiem.

Konfidenciālā datu apstrāde ir jauninājums, kas paredz datu glabāŔanu Å”ifrētā veidā to apstrādes laikā. Tas ir pēdējais posms datu Å”ifrÄ“Å”anas ķēdē, jo mākoņu pakalpojumu sniedzēji jau Å”ifrē datus to ievadē un izejā. LÄ«dz nesenam laikam bija nepiecieÅ”ams atÅ”ifrēt datus to apstrādes laikā, un daudzi eksperti saskata Å”ajā acÄ«mredzamu vājumu datu Å”ifrÄ“Å”anā.

Google konfidenciālās datu apstrādes iniciatÄ«va balstās uz sadarbÄ«bu ar Konfidenciālās datu apstrādes konsorciju, nozares grupu, kas veicina "uzticamu izpildes vidēm" (Trusted Execution Environments, TEEs) koncepciju. TEE ir aizsargāta procesora daļa, kurā ielādētie dati un kods ir Å”ifrēti, tādējādi padarot to piekļuvi neiespējamu citiem Ŕī paÅ”a procesora elementiem.

Google konfidenciālās VM darbojas uz N2D virtuālajām maŔīnām, kas darbojas AMD otrās paaudzes EPYC procesoros, izmantojot Secure Encrypted Virtualization tehnoloÄ£iju, kas ļauj izolēt virtuālās maŔīnas no hipervizora, uz kura tās darbojas. Ir garantija, ka dati paliek Å”ifrēti neatkarÄ«gi no to izmantoÅ”anas: darba slodzes, analÄ«tika, modeļu apmācÄ«bas pieprasÄ«jumi mākslÄ«gajam intelektam. Å Ä«s virtuālās maŔīnas ir paredzētas, lai apmierinātu jebkuras uzņēmuma, kas strādā ar konfidenciāliem datiem regulētajās nozarēs, piemēram, banku sektorā, vajadzÄ«bas.

Iespējams, vēl steidzamāka ir ziņa par gaidāmo beta testÄ“Å”anu konfidenciālo GKE mezglu, kuri, pēc Google teiktā, tiks piedāvāti gaidāmajā 1.18 versijā Google Kubernetes Engine (GKE). GKE ir pārvaldÄ«ta, ražoÅ”anai gatava vide konteineru palaiÅ”anai, kuros tiek izvietoti mÅ«sdienu lietojumprogrammu daļas, kuras var darbināt vairākos skaitļoÅ”anas vidēs. Kubernetes ir atvērtā koda orÄ·estrÄ“Å”anas rÄ«ks, ko izmanto Å”o konteineru pārvaldÄ«Å”anai.

Confidential GKE mezglu pievienoÅ”ana nodroÅ”ina augstāku konfidencialitāti GKE klasteru palaiÅ”anā. Pievienojot jaunu produktu Confidential Computing sērijā, mēs vēlējāmies nodroÅ”ināt jaunu lÄ«meni
konfidencialitātei un pārnesamÄ«bai konteinerizētām slodzēm. Google Confidential GKE mezgli balstÄ«ti uz tādām paŔām tehnoloÄ£ijām kā Confidential VMs, ļauj jums Å”ifrēt datus operatÄ«vajā atmiņā, izmantojot katram mezglam unikālu Å”ifrÄ“Å”anas atslēgu, ko izveido un pārvalda AMD EPYC procesors. Šādi mezgli izmanto aparatÅ«ras Å”ifrÄ“Å”anu operatÄ«vajā atmiņā, pamatojoties uz AMD funkciju SEV, kas nozÄ«mē, ka jÅ«su slodzes, kas tiek izpildÄ«tas Ŕādos mezglos, tiks Å”ifrētas to darbÄ«bas laikā.

Sunil Potti un Eyal Manor, Google mākoņa tehnoloģiju inženieri

Confidential GKE mezglos klienti var konfigurēt GKE klasterus tā, lai mezglu baseini tiktu palaisti uz Confidential VMs. VienkārŔāk sakot ā€” jebkuras slodzes, kas tiek veiktas Ŕādos mezglos, tiks Å”ifrētas datu apstrādes laikā.

Daudziem uzņēmumiem nepiecieÅ”ama vēl lielāka konfidencialitāte, izmantojot publiskos mākoņu pakalpojumus, nekā lokālām slodzēm, kas tiek palaistas uz viņu resursiem, lai pasargātu sevi no ļaunprātÄ«giem uzbrukumiem. Google Cloud paplaÅ”inot savu Confidential Computing sēriju, paceļ Å”o latiņu, nodroÅ”inot lietotājiem iespēju garantēt konfidencialitāti GKE klasteriem. Ņemot vērā Kubernetes popularitāti ā€” tas ir svarÄ«gs solis uz priekÅ”u nozarei, dodot uzņēmumiem vairāk iespēju droÅ”i izvietot nākamās paaudzes lietojumprogrammas publiskā mākoņos.

Holger Mueller, Constellation Research analītiķis.

PiezÄ«me. MÅ«su uzņēmums no 28. lÄ«dz 30. septembrim rÄ«ko atjaunotu intensÄ«vo kursu Kubernetes Bāze tiem, kas vēl nezina Kubernetes, bet vēlas ar to iepazÄ«ties un sākt strādāt. Un pēc Ŕī pasākuma no 14. lÄ«dz 16. oktobrim mēs uzsākam atjaunotu Kubernetes Mega kursu pieredzējuÅ”iem Kubernetes lietotājiem, kuriem svarÄ«gi uzzināt visus jaunākos praktiskos risinājumus, strādājot ar jaunākajām Kubernetes versijām un iespējamiem Ā«kārdinājumiemĀ». Mēs Kubernetes Mega izskatÄ«sim teorijā un praksē ražoÅ”anai gatava klastera uzstādÄ«Å”anas un konfigurÄ“Å”anas smalkumus (Ā«the-not-so-easy-wayĀ»), kā arÄ« mehānismus, kas nodroÅ”ina droŔību un pieejamÄ«bu lietojumprogrammām.

Papildus Google paziņoja, ka tās Confidential VMs iegÅ«s jaunas iespējas, jo tās kļūst publiski pieejamas no Å”odienas. Piemēram, ir pieejami auditi, kas satur detalizētus žurnālus par AMD Secure Processor, kas tiek izmantots atslēgu izveidei katram Confidential VMs instancē.

Ir pieejami arÄ« vairāk kontroles rÄ«ku, lai noteiktu specifiskas piekļuves tiesÄ«bas, un Google ir pievienojusi iespēju atslēgt jebkuru neslepeno virtuālo maŔīnu norādÄ«tajā projektā. Turklāt Google sasaista Confidential VMs ar citiem droŔības mehānismiem, lai nodroÅ”inātu droŔību.

Jūs varat izmantot kopīgas VPC kombināciju ar ugunsmura noteikumiem un organizācijas politikas ierobežojumiem, lai pārliecinātos, ka Confidential VMs var apmainīties ar datiem ar citiem Confidential VMs, pat ja tie darbojas dažādos projektos. Turklāt jūs varat izmantot VPC Service Controls, lai noteiktu GCP resursu jomu jūsu Confidential VMs.

Sunil Potti un Eyal Manor

Avots: habr.com

Iegādājieties uzticamu tÄ«mekļa hostingu ar DDoS aizsardzÄ«bu, VPS VDS serveriem šŸ”„ Iegādājieties uzticamu tÄ«mekļa hostingu ar DDoS aizsardzÄ«bu, VPS VDS serveriem | ProHoster