Google har lagt til støtte for Kubernetes i Confidential Computing

TL;DR: Nå kan Kubernetes kjøre på Konfidensielle VM-er fra Google.

Google kunngjorde i dag (08.09.2020, translator's note) på arrangementet Cloud Next OnAir utvidelsen av produktsortimentet sitt med lanseringen av en ny tjeneste.

Konfidensielle GKE-noder tilfører mer hemmelighold til arbeidsbelastninger som kjører i Kubernetes. I juli ble det første produktet lansert under navnet Konfidensielle VM-er, og nå er disse virtuelle maskinene allerede tilgjengelige for alle.

Konfidensiell databehandling er en nyhet som forutsetter lagring av data i kryptert form under behandling. Dette er det siste leddet i datakrypteringskjeden, ettersom skytjenesteleverandører allerede krypterer data ved inn- og utgang. Fram til nylig måtte data dekrypteres under behandling, og mange eksperter ser dette som et åpenbart hull innen datakryptering.

Initiativet for konfidensiell databehandling fra Google er basert på samarbeid med konsortiet for konfidensiell databehandling, en bransjegruppe som fremmer konseptet med 'pålitelige kjøremiljøer' (Trusted Execution Environments, TEEs). TEE er en beskyttet del av prosessoren der lastede data og kode er krypterte, noe som betyr at det ikke er mulig for andre deler av samme prosessor å få tilgang til denne informasjonen.

Konfidensielle VM-er fra Google kjører på N2D virtuelle maskiner, som er drevet av AMDs andre generasjon EPYC-prosessorer, som bruker Secure Encrypted Virtualization-teknologi, som gjør det mulig å isolere virtuelle maskiner fra hypervisoren de kjører på. Det er en garanti for at data forblir krypterte uansett bruken: arbeidsbelastninger, analyser, forespørsel om trening av modeller for kunstig intelligens. Disse virtuelle maskinene er designet for å møte behovene til enhver virksomhet som jobber med konfidensielle data i regulerte områder, som for eksempel banksektoren.

I tillegg er det kanskje mer presserende nyheten om den kommende beta-testingen av konfidensielle GKE-noder, som ifølge Google vil bli introdusert i den kommende versjonen 1.18 Google Kubernetes Engine (GKE). GKE er et administrert, produksjonsklart miljø for kjøring av containere, som huser deler av moderne applikasjoner, som kan kjøres i flere beregningsmiljøer. Kubernetes er et open-source orkestreringsverktøy som brukes til å administrere disse containerne.

Legg til noder Confidential GKE gir høyere konfidensialitet ved kjøring av GKE-klynger. Ved å legge til et nytt produkt i Confidential Computing-linjen ønsket vi å sikre et nytt nivå
av konfidensialitet og flyttbarhet for containeriserte belastninger. Confidential GKE-noder fra Google er bygget på samme teknologi som Confidential VMs, og lar deg kryptere data i minnet ved hjelp av en unik krypteringsnøkkel for hver node, opprettet og administrert av AMD EPYC-prosessoren. Slike noder vil bruke maskinvarekryptering av minnet basert på AMDs SEV-funksjon, noe som betyr at arbeidsbelastningene dine som kjører på slike noder, vil være kryptert under arbeidsprosessen.

Sunil Potti og Eyal Manor, ingeniører for skyteknologi, Google

På Confidential GKE-noder kan kundene konfigurere GKE-klynger slik at nodene kjøres på Confidential VMs. Enkelt sagt — enhver arbeidsbelastning som kjører på slike noder, vil være kryptert under databehandling.

Mange bedrifter trenger enda mer konfidensialitet ved bruk av offentlige skybaserte tjenester enn for lokale arbeidsbelastninger som kjøres på egen maskinvare, noe som er nødvendig for å beskytte mot skadelig aktivitet. Google Cloud hever nivået ved å utvide sin linje av Confidential Computing, og gir brukerne muligheten til å sikre konfidensialitet for GKE-klynger. Og med tanke på populariteten til Kubernetes — er dette et viktig skritt fremover for bransjen, som gir selskaper bedre muligheter for sikker distribusjon av neste generasjons applikasjoner i offentlig sky.

Holger Mueller, analytiker ved Constellation Research.

N.B. Vårt selskap lanserer en oppdatert intensiv Kubernetes Grunnkurs for de som fortsatt ikke kjenner til Kubernetes, men ønsker å bli kjent med det og begynne å arbeide med det. Etter dette arrangementet fra 14.–16. oktober lanserer vi en oppdatert Kubernetes Mega for erfarne Kubernetes-brukere som vil vite om alle de nyeste praktiske løsningene for å jobbe med de nyeste versjonene av Kubernetes og mulige "feller". På Kubernetes Mega vil vi i teori og praksis gå gjennom detaljene i oppsett og konfigurasjon av en produksjonsklar klynge ("the-not-so-easy-way"), mekanismene for å sikre sikkerhet og pålitelighet i applikasjoner.

I tillegg kunngjorde Google at deres Confidential VMs får noen nye funksjoner når de blir offentlig tilgjengelige fra og med i dag. For eksempel har det blitt lagt til revisjonsrapporter som inneholder detaljerte logger for integritetskontroller av AMD Secure Processor, som brukes til å lage nøkler for hver instans av Confidential VMs.

Det har også blitt lagt til flere kontrollverktøy for å angi spesifikke tilgangsrettigheter, og Google har lagt til muligheten til å deaktivere enhver ikke-konfidensiell virtuell maskin i et angitt prosjekt. Google kobler også Confidential VMs til andre mekanismer for konfidensialitet for å sikre sikkerhet.

Du kan bruke en kombinasjon av delte VPC-er med brannmurregler og organisasjonspolicybegrensninger for å sikre at Confidential VMs kan utveksle data med andre Confidential VMs, selv om de kjører i forskjellige prosjekter. I tillegg kan du bruke VPC Service Controls til å angi området for GCP-ressursene dine for Confidential VMs.

Sunil Potti og Eyal Manor

Kilde: habr.com