Container Service for Kubernetes (ACK) クラスターは、信頼できる実行環境 (TEE) に基づく機密コンピューティングをサポートしています。 このトピックでは、TEEベースの機密コンピューティングの基本概念、コア機能、シナリオ、およびソリューションについて説明します。 このトピックでは、TEEベースの機密コンピューティングとサンドボックスコンテナのコラボレーションについても説明します。
基本概念
ACKは、TEEベースの機密コンピューティングを提供します。これは、ハードウェア暗号化技術に基づくクラウドネイティブでオールインワンのソリューションです。 TEEベースの機密コンピューティングは、データのセキュリティ、整合性、および機密性を保証します。 信頼できるアプリケーションまたは機密アプリケーションの開発と配信を低コストで簡素化します。 機密コンピューティングを使用すると、TEE内の機密データとコードを分離できます。 これは、データおよびコードがシステムの残りの部分によってアクセスされることを防止する。 TEE内に保存されたデータは、外部アプリケーション、BIOS、オペレーティングシステム、カーネル、管理者、O&Mエンジニア、クラウドサービスプロバイダ、およびCPU以外のハードウェアコンポーネントからアクセスできません。 これにより、データ漏えいの可能性が減り、データ管理が簡単になります。
コア機能
クラウド内のコードとデータの整合性を確保します。
データとコードを暗号化して、データ侵害を防ぎます。
データのライフサイクル管理を有効にします。
利用シナリオ
ブロックチェーン
トランザクション処理、コンセンサス、スマートコントラクト、およびキーストレージの機密性とセキュリティを強化します。
キー管理
エンクレーブにキー管理機能を展開します。 この機能は、ハードウェアセキュリティモジュール (HSM) に似ています。
遺伝的コンピューティング
複数の関係者が関与するコンピューティングシナリオで機密データを分離することにより、データの機密性を確保します。
金融
安全な支払いと取引をサポートします。
AI
モデルなどの機密情報を暗号化して知的財産権を保護します。
エッジコンピューティング
クラウド、エッジ、端末間の安全で機密の通信をサポートします。
データ共有とコンピューティング
ユーザーまたはベンダーがデータを共有して経済的価値を高める場合、データを侵害から保護します。
解決策
次の図は、TEEベースの機密コンピューティングV1.1を示しています。
ACKは、Intel Software Guard Extensions (SGX) 2.0に基づく機密コンピューティング用のマネージドKubernetesクラスターをリリースしました。 これにより、信頼できるアプリケーションまたは機密アプリケーションの管理が簡素化され、これらのアプリケーションの配信コストが削減されます。 機密コンピューティングは、パブリッククラウド内のデータとコードの整合性と機密性を保証し、クラウドベンダーからのアクセスを防ぎます。 機密コンピューティング用のマネージドKubernetesクラスターの作成方法の詳細については、「機密コンピューティング用のマネージドKubernetesクラスターの作成」をご参照ください。
次の要件が満たされていることを確認してください。
ワーカーノードは、c7t security-enhanced compute-optimized、g7t security-enhanced general-purpose、r7t security-enhanced memory-optimizedのインスタンスファミリーを使用してデプロイする必要があります。
説明Intel Ice Lakeは、Intel Software Guard Extensions Data Center attestation Primitives (SGX DCAP) に基づくリモート認証サービスのみをサポートしています。 Intel Enhanced Privacy Identification (EPID) に基づくリモート認証サービスはサポートされていません。 リモート認証サービスを使用する前に、アプリケーションを調整する必要があります。 リモート認証サービスの詳細については、「attestation-services」をご参照ください。
SGX 2.0ドライバーとTEE SDKは、クラスターのノードが初期化されると自動的にインストールされます。 TEE SDKは、機密コンピューティング用のアプリケーションを開発するためにAlibaba Cloudが提供する開発キットです。 このキットは、Intel Linux SGX SDKと一致する開発モデルとプログラミングインターフェイスを提供します。
デフォルトでは、Intel SGX Architectural Enclave Service Manager (AESM) DaemonSetがインストールされています。 これにより、SGX 2.0のアプリケーションはAESMにアクセスできます。
Alibaba Cloudによって開発されたSGXデバイスプラグインを使用して、SGXノードのEnclave Page Cache (EPC) 内のメモリリソースを検出、管理、およびスケジュールすることができます。
TEEベースの機密コンピューティングがサンドボックスコンテナと連携
runCのコンテナは攻撃に対して脆弱です
runCのコンテナーは、ホストとカーネルを共有します。 コンテナエスケープの脆弱性がカーネルで発生すると、コンテナ内の悪意のあるアプリケーションがバックエンドシステムに逃げる可能性があります。 これは、他のアプリケーションおよびシステム全体に害を及ぼし得る。
サンドボックスコンテナは、悪意のあるアプリケーションとブロック攻撃を分離します
サンドボックスコンテナは、軽量のカンガルーフレームワークに基づいて分離を強化します。 各ポッドは、独立したオペレーティングシステムおよびカーネル上で実行される。 カーネルで脆弱性が発生すると、このカーネルで実行されるポッドのみが影響を受けます。 これにより、他のアプリケーションとバックエンドシステムが保護されます。
TEEベースの機密コンピューティングは、使用中のアプリケーションを保護します
TEEベースの機密コンピューティングは、ACKによって提供される暗号化コンピューティングソリューションです。 IPアドレス、キー、機密通信などの機密コードとデータを保護します。
クラウドコンピューティングは、企業に利益をもたらすテクノロジーです。 ただし、データをクラウドに移行する場合、データ侵害の可能性が重要な懸念事項になります。 データ侵害は、次のシナリオで発生する可能性があります。
攻撃
信頼できないクラウドベンダー
クラウドインフラストラクチャのセキュリティ上の欠陥
資格のないO&Mスタッフと管理者
TEEベースの機密コンピューティングは、サンドボックスコンテナと連携して、悪意のあるアプリケーションを分離し、機密データを保護します
TEEベースの機密コンピューティングとサンドボックスコンテナは、さまざまな機能を提供します。 クラスター内の機能を組み合わせて、悪意のあるアプリケーションを分離し、機密アプリケーションとデータを保護できます。
