TL;DR: Zdaj lahko zaženete Kubernetes na iz Google-a.
Družba Google je danes (08.09.2020, translator's note) na dogodku napovedala širitev svoje ponudbe z uvodom nove storitve.
Confidential GKE vozli dodajajo več skrivnosti obremenitvam, ki se izvajajo v Kubernetesu. Julija je bil predstavljen prvi izdelek z imenom , danes pa so te virtualne naprave že na voljo vsem.
Confidential Computing je novost, ki predpostavlja shranjevanje podatkov v šifrirani obliki med njihovo obdelavo. To je zadnji člen v verigi šifriranja podatkov, saj ponudniki oblačnih storitev že šifrirajo podatke ob vstopu in izstopu. Do nedavnega je bilo treba podatke dešifrirati med obdelavo, kar mnogi strokovnjaki vidijo kot očitno vrzel v šifriranju podatkov.
Iniciativa Confidential Computing družbe Google temelji na sodelovanju s konsorciem Confidential Computing, industrijsko skupino za promocijo koncepta 'zanesljivih izvršilnih okolij' (Trusted Execution Environments, TEEs). TEE je zaščiten del procesorja, v katerem so naloženi podatki in koda šifrirani, kar pomeni, da nima dostopa do teh informacij nobena druga komponenta istega procesorja.
Confidential VMs družbe Google delujejo na virtualnih napravah N2D, ki tečejo na procesorjih druge generacije EPYC podjetja AMD, ki uporabljajo tehnologijo Secure Encrypted Virtualization, ki omogoča izolacijo virtualnih naprav od hipervizorja, na katerem delujejo. Obstaja jamstvo, da podatki ostanejo šifrirani ne glede na njihovo uporabo: delovne obremenitve, analiza, zahtevki za usposabljanje modelov za umetno inteligenco. Te virtualne naprave so zasnovane za zadostitev potrebam katere koli družbe, ki dela s skrivnimi podatki v reguliranih področjih, na primer v bančništvu.
Morda je bolj nujna napoved o prihajajočem beta testiranju vozlišč Confidential GKE, ki jih bo Google predstavil v prihajajoči različici 1.18 (GKE). GKE je upravljano, proizvodno okolje, pripravljeno za zagon kontejnerjev, v katerih so delčki sodobnih aplikacij, ki se lahko izvajajo v več računalniških okoljih. Kubernetes je orodje z odprto kodo za orchestracijo, ki se uporablja za upravljanje teh kontejnerjev.
Dodajanje vozlišč Confidential GKE zagotavlja večjo skrivnost pri zagonu GKE grozdov. Pri dodajanju novega produkta v vrsto Confidential Computing smo želeli zagotoviti nov nivo
skrivnosti in prenosljivosti za kontejnerizirane obremenitve. Vozlišča Confidential GKE podjetja Google temeljijo na isti tehnologiji kot Confidential VMs, kar vam omogoča šifriranje podatkov v pomnilniku z edinstvenim ključem šifriranja za vsako vozlišče, ki ga ustvarja in upravlja procesor AMD EPYC. Takšna vozlišča bodo uporabljala strojno šifriranje pomnilnika na osnovi funkcije SEV podjetja AMD, kar pomeni, da bodo vaše delovne obremenitve, ki se izvajajo na takšnih vozliščih, šifrirane med obdelavo.
Sunil Potti in Eyal Manor, inženirja za oblačne tehnologije, Google
Na vozliščih Confidential GKE lahko stranke konfigurirajo GKE grozde tako, da bodo bazeni vozlišč zagnani na virtualnih napravah Confidential VMs. Preprosto povedano, vse delovne obremenitve, ki se izvajajo na takšnih vozliščih, bodo šifrirane med obdelavo podatkov.
Mnogim podjetjem je potrebno še več skrivnosti pri uporabi javnih oblačnih storitev, kot pri lokalnih obremenitvah, ki se izvajajo na njihovih zmogljivostih, kar je potrebno za zaščito pred zlonamernimi napadi. Google Cloud povečuje svojo vrsto Confidential Computing, kar povečuje to mejo in uporabnikom omogoča zagotavljanje skrivnosti za GKE grozde. Glede na priljubljenost Kubernetes je to ključni korak naprej za industrijo, ki podjetjem daje več možnosti za varno gostovanje aplikacij naslednje generacije v javnem oblaku.
Holger Mueller, analitik Constellation Research.
N.B. Naša podjetje bo od 28. do 30. septembra izvedlo posodobljen intenziv za tiste, ki še ne poznajo Kubernetes, vendar si želijo spoznati in začeti delati z njim. Po tem dogodku, od 14. do 16. oktobra, bomo izvedli posodobljen za izkušene uporabnike Kubernetes, ki jim je pomembno poznati vsa zadnja praktična rešitev pri delu z zadnjimi različicami Kubernetes in morebitne 'past'. Na bomo obravnavali v teoriji in praksi občutke namestitve in konfiguracije produkcijsko pripravljenega grozda ('the-not-so-easy-way'), mehanizme zagotavljanja varnosti in odpornosti aplikacij.
Poleg tega je Google sporočil, da bodo njegovi Confidential VMs pridobili nove možnosti, saj postajajo dostopni javnosti od danes. Na primer, pojavili so se revizijski poročili, ki vsebujejo podrobne dnevniške zapise preverjanja celovitosti mikroprograma AMD Secure Processor, ki se uporablja za ustvarjanje ključev za vsak primer Confidential VMs.
Prav tako so se pojavili dodatni nadzorni elementi za določanje specifičnih pravic dostopa, Google pa je dodal možnost onemogočanja katere koli javne virtualne naprave v določenem projektu. Poleg tega Google povezuje Confidential VMs z drugimi mehanizmi varovanja zasebnosti za zagotavljanje varnosti.
Lahko uporabite kombinacijo skupnih VPC z pravili požarnega zidu in omejitvami organizacijske politike, da zagotovite, da lahko Confidential VMs izmenjujejo podatke z drugimi Confidential VMs, tudi če delujejo v različnih projektih. Poleg tega lahko uporabite VPC Service Controls za določitev obsega virov GCP za vaše Confidential VMs.
Sunil Potti in Eyal Manor
Izvor: habr.com
