TL;DR: Nu kan Kubernetes köras pÄ frÄn Google.
Google meddelade idag (08.09.2020, översÀttarens anm.) vid evenemanget om att utöka sitt produktutbud med lanseringen av en ny tjÀnst.
Confidential GKE-noder tillför mer sekretess till arbetsbelastningar som körs i Kubernetes. I juli lanserades den första produkten som heter , och idag Àr dessa virtuella maskiner redan allmÀnt tillgÀngliga för alla.
Confidential Computing Àr en nyhet som innebÀr lagring av data i krypterad form under bearbetning. Det hÀr Àr den sista lÀnken i kedjan av datakryptering, eftersom molnleverantörer redan krypterar data vid in- och utgÄng. Fram till nyligen var det nödvÀndigt att dekryptera data under bearbetning, och mÄnga experter ser detta som en tydlig brist i datakryptering.
Initiativet Confidential Computing frÄn Google bygger pÄ ett samarbete med konsortiet Confidential Computing, en branschgrupp som arbetar för att frÀmja konceptet 'Trusted Execution Environments' (TEE). TEE Àr en skyddad del av processorn dÀr laddade data och kod Àr krypterade, vilket innebÀr att andra delar av den samma processorn inte kan fÄ Ätkomst till denna information.
Confidential VMs frÄn Google körs pÄ N2D-virtuella maskiner som anvÀnder andra generationens EPYC-processorer frÄn AMD, med teknik för Secure Encrypted Virtualization som möjliggör isolering av virtuella maskiner frÄn hypervisorn de körs pÄ. Det finns en garanti för att data förblir krypterade oavsett hur de anvÀnds: arbetsbelastningar, analys, begÀrningar för att trÀna modeller för artificiell intelligens. Dessa virtuella maskiner Àr utformade för att möta behoven hos alla företag som hanterar kÀnslig data inom reglerade omrÄden, till exempel banksektorn.
En mer angelÀgen nyhet Àr tillkÀnnagivandet om den kommande beta-testningen av Confidential GKE-noder, som enligt Google kommer att presenteras i den kommande versionen 1.18 (GKE). GKE Àr en hanterad, produktionsklar miljö för att köra containrar dÀr delar av moderna applikationer placeras som kan köras i flera berÀkningsmiljöer. Kubernetes Àr ett verktyg för orkestrering med öppen kÀllkod som anvÀnds för att hantera dessa containrar.
TillÀgg av Confidential GKE-noder ger en högre sekretess vid körning av GKE-kluster. Vid införandet av en ny produkt i serien Confidential Computing ville vi sÀkerstÀlla en ny nivÄ
av sekretess och portabilitet för containeriserade arbetsbelastningar. Confidential GKE-noder frÄn Google bygger pÄ samma teknik som Confidential VMs, vilket gör det möjligt att kryptera data i minnet med en unik krypteringsnyckel per nod som skapas och hanteras av AMD EPYC-processorn. Dessa noder kommer att anvÀnda hÄrdvarubaserad kryptografi för minnet baserat pÄ AMD:s SEV-funktion, vilket innebÀr att arbetsbelastningarna som körs pÄ dessa noder kommer att vara krypterade under sin drift.
Sunil Potti och Eyal Manor, ingenjörer inom molnteknik, Google
PĂ„ Confidential GKE-noder kan kunder konfigurera GKE-kluster sĂ„ att nodpoolerna körs pĂ„ Confidential VMs. Enkelt uttryckt â alla arbetsbelastningar som körs pĂ„ dessa noder kommer att vara krypterade under databehandlingen.
MÄnga företag behöver Ànnu mer sekretess vid anvÀndning av offentliga molntjÀnster Àn vad som krÀvs för lokala arbetsbelastningar som körs pÄ deras egna resurser, vilket Àr nödvÀndigt för att skydda mot illvilliga aktörer. Google Cloud, genom att utöka sin serie av Confidential Computing, höjer ribban och ger anvÀndarna möjlighet att sÀkerstÀlla sekretess för GKE-kluster. Med tanke pÄ Kubernetes popularitet Àr detta ett avgörande steg framÄt för branschen, vilket ger företag större möjligheter att sÀkert driftsÀtta nÀsta generations applikationer i det offentliga molnet.
Holger Mueller, analytiker pÄ Constellation Research.
N.B. VĂ„rt företag lanserar en uppdaterad intensivkurs den 28-30 september för de som Ă€nnu inte kĂ€nner till Kubernetes men vill bekanta sig med det och börja arbeta. Efter detta evenemang, den 14â16 oktober, lanserar vi en uppdaterad för erfarna Kubernetes-anvĂ€ndare som Ă€r intresserade av att kĂ€nna till alla senaste praktiska lösningar gĂ€llande de senaste versionerna av Kubernetes och eventuella "fallgropar". Under gĂ„r vi igenom teorin och praktiken kring installation och konfiguration av en produktionsklar kluster ("the-not-so-easy-way"), mekanismer för att sĂ€kerstĂ€lla sĂ€kerhet och motstĂ„ndskraft för applikationer.
Förutom detta har Google meddelat att deras Confidential VMs kommer att fÄ vissa nya funktioner, dÄ de blir offentliga frÄn och med idag. Till exempel har det dykt upp revisionsrapporter som innehÄller detaljerade loggar för integritetskontroller av AMD Secure Processor, vilket anvÀnds för att generera nycklar för varje instans av Confidential VMs.
Det har ocksÄ tillkommit fler kontrolelement för att ange specifika ÄtkomstrÀttigheter, och Google har lagt till möjligheten att stÀnga av vilken icke-konfidentiell virtuell maskin som helst i ett givet projekt. Dessutom kopplar Google samman Confidential VMs med andra sekretessskyddsmekanismer för att sÀkerstÀlla sÀkerheten.
Du kan anvÀnda en kombination av gemensamma VPC med brandvÀggsregler och grÀnser för organisationspolicy för att sÀkerstÀlla att Confidential VMs kan utbyta data med andra Confidential VMs, Àven om de körs i olika projekt. Dessutom kan du anvÀnda VPC Service Controls för att definiera omrÄdet för GCP-resurser för dina Confidential VMs.
Sunil Potti och Eyal Manor
KĂ€lla: habr.com
