TL;DR: Teraz je možné spustiť Kubernetes na od Googlu.
Spoločnosť Google dnes (08.09.2020, pozn. prekladateľa) na podujatí oznámila rozšírenie svojej produktovej rady uvedením novej služby.
Uzly Confidential GKE pridávajú viac dôvernosti na zaťaženia spustené v Kubernetes. V júli bol uvedený prvý produkt s názvom , a dnes sú tieto virtuálne stroje už verejne dostupné všetkým.
Confidential Computing je novinka, ktorá predpokladá uchovávanie údajov v šifrovanej podobe počas ich spracovania. Je to posledný článok v reťazci šifrovania údajov, keďže poskytovatelia cloudových služieb už šifrujú údaje na vstupe a výstupe. Do nedávna bolo potrebné dešifrovať údaje počas ich spracovania, a mnohí odborníci v tom vidia jasnú medzeru v oblasti šifrovania údajov.
Iniciatíva Confidential Computing od Googlu je založená na spolupráci s konsorciom Confidential Computing, priemyselnou skupinou na podporu konceptu »dôveryhodných prostredí vykonávania« (Trusted Execution Environments, TEEs). TEE je chránená časť procesora, v ktorej sú uložené údaje a kód šifrované, čo znamená, že iné časti toho istého procesora nemajú prístup k týmto informáciám.
Confidential VMs od Googlu fungujú na virtuálnych strojoch N2D, ktoré bežia na procesoroch druhej generácie EPYC od AMD, využívajúcich technológiu Secure Encrypted Virtualization, čo umožňuje izolovať virtuálne stroje od hypervízora, na ktorom bežia. Existuje záruka, že údaje zostanú šifrované bez ohľadu na ich používanie: pracovné zaťaženia, analýzy, požiadavky na tréning modelov pre umelú inteligenciu. Tieto virtuálne stroje sú navrhnuté tak, aby vyhovovali potrebám akejkoľvek spoločnosti, ktorá pracuje s citlivými údajmi v regulovaných oblastiach, ako je bankový sektor.
Možno ešte viac aktuálny je oznámenie o nadchádzajúcom beta testovaní uzlov Confidential GKE, ktoré, podľa Googlu, budú predstavené v nadchádzajúcom vydaní 1.18 (GKE). GKE — spravované, pripravené na nasadenie prostredie pre spúšťanie kontajnerov, v ktorých sú umiestnené časti moderných aplikácií, ktoré je možné spúšťať v niekoľkých výpočtových prostrediach. Kubernetes je nástroj na orchestráciu s otvoreným zdrojovým kódom, ktorý sa používa na správu týchto kontajnerov.
Pridanie uzlov Confidential GKE poskytuje väčšiu úroveň súkromia pri spúšťaní klastrov GKE. Pri pridávaní nového produktu do portfólia Confidential Computing sme chceli zabezpečiť novú úroveň
súkromia a prenosnosti pre kontajnerizované zaťaženia. Uzly Confidential GKE od Google sú postavené na tej istej technológii ako Confidential VMs, umožňujú vám šifrovať údaje v pamäti pomocou jedinečného kľúča šifrovania pre každý uzol, ktorý je generovaný a spravovaný procesorom AMD EPYC. Tieto uzly budú využívať hardvérové šifrovanie pamäte na základe funkcie SEV od spoločnosti AMD, čo znamená, že vaše pracovné zaťaženia, ktoré bežia na týchto uzloch, budú zašifrované počas ich činnosti.
Sunil Potti a Eyal Manor, inžinieri pre cloudové technológie, Google
Na uzloch Confidential GKE môžu klienti nastaviť klastre GKE tak, že pooly uzlov budú spustené na virtuálnych strojoch Confidential VMs. Jednoducho povedané — akékoľvek pracovné zaťaženia, ktoré bežia na týchto uzloch, budú šifrované počas spracovania údajov.
Mnohým podnikom je potrebné ešte viac súkromia pri využívaní verejných cloudových služieb, než pri miestnych pracovných zaťaženiach, ktoré sú spúšťané na ich infraštruktúre, čo je potrebné na ochranu pred zlými aktérmi. Google Cloud, rozširujúci svoju produktovú líniu Confidential Computing, zvyšuje túto latku a umožňuje používateľom zaistiť súkromie pre klastre GKE. A vzhľadom na popularitu Kubernetes je to kľúčový krok vpred pre odvetvie, ktorý poskytuje firmám viac možností na bezpečné umiestnenie aplikácií novej generácie vo verejnom cloude.
Holger Mueller, analytik Constellation Research.
N.B. Naša spoločnosť 28-30 septembra spúšťa aktualizovaný intenzívny kurz pre tých, ktorí ešte nepoznajú Kubernetes, ale chcú sa s ním oboznámiť a začať pracovať. A po tejto akcii 14–16 októbra spúšťame aktualizovaný pre pokročilých používateľov Kubernetes, ktorí chcú vedieť všetky najnovšie praktické riešenia pri práci s poslednými verziami Kubernetes a možné „nástrahy“. Na rozoberieme v teórii a praxi nuansy inštalácie a konfigurácie clustera pripraveného na produkciu („the-not-so-easy-way“), mechanizmy zabezpečenia a odolnosti aplikácií.
Okrem iného Google oznámil, že jeho Confidential VMs dostanú niektoré nové funkcie, pretože sa od dnešného dňa stávajú verejnými. Napríklad sa objavili správy o audite obsahujúce podrobné záznamy o kontrole integrity firmvéru AMD Secure Processor, ktorý sa používa na generovanie kľúčov pre každý exemplár Confidential VMs.
Taktiež pribudlo viac ovládacích prvkov na nastavenie konkrétnych oprávnení a Google pridal možnosť vypnúť akúkoľvek neverejnú virtuálnu stroj na určenom projekte. Navyše Google prepája Confidential VMs s inými mechanizmami ochrany súkromia na zabezpečenie bezpečnosti.
Môžete použiť kombináciu zdieľaných VPC s pravidlami firewall a obmedzeniami v politike organizácie na zabezpečenie, že Confidential VMs môžu zdieľať údaje s inými Confidential VMs, aj keď pracujú v rôznych projektoch. Okrem toho môžete použiť VPC Service Controls na určenie oblasti zdrojov GCP pre vaše Confidential VMs.
Sunil Potti a Eyal Manor
Zdroj: habr.com
