Alibaba Cloud は、ハードウェア暗号化、隔離、ユーザー監査などの技術的手段を用いて、安全で信頼性の高い隔離されたコンピューティング環境を提供します。また、さまざまなセキュリティとパフォーマンスの要件を満たすために、多層的なセキュリティ保護を提供します。
概要
Alibaba Cloud は、デフォルトのメモリ暗号化、信頼できるコンピューティング (vTPM)、および Confidential VM (機密 VM) とエンクレーブを含む機密コンピューティング機能を提供します。
デフォルトのメモリ暗号化： メモリ暗号化は、メモリデータを物理攻撃から保護し、クラウドにおけるデータセキュリティを向上させます。オペレーティングシステムやアプリケーションを変更することなく、この高レベルのセキュリティ保護の恩恵を受けることができます。g8i 汎用インスタンスファミリー、c8i コンピューティング最適化インスタンスファミリー、およびその他のインスタンスファミリーは、デフォルトでメモリ暗号化をサポートしています。
信頼できるコンピューティング機能： 信頼できるインスタンスは、ハイパーバイザーレイヤーで仮想 Trusted Platform Module (vTPM) を信頼の基点として使用します。これにより、Elastic Compute Service (ECS) サーバーの信頼できるブートが可能になり、インスタンスの起動時にコアコンポーネントを検証して、改ざんされていないことを保証します。
機密コンピューティング機能： この機能は、CPU ハードウェア暗号化と隔離を使用して、信頼できる実行環境 (TEE) を提供します。TEE は、データを不正な変更から保護します。また、リモートアテステーションを使用して、クラウドプラットフォームとインスタンスが期待される安全な状態にあることを検証することもできます。
エンクレーブセキュリティ： Alibaba Cloud は、Intel SGX 2.0 と Alibaba Cloud 仮想化エンクレーブに基づく機密コンピューティング機能を提供します。この機能は、信頼できるコンピューティングベース (TCB) を大幅に削減し、サービスに対する潜在的な攻撃対象領域を最小限に抑えます。これにより、より安全で信頼性の高い機密環境を構築できます。詳細については、「SGX 機密コンピューティング環境の構築」および「エンクレーブ機密コンピューティング環境の構築」をご参照ください。
Confidential VM (機密 VM) のセキュリティ： Confidential VM (機密 VM) を使用すると、暗号化コンピューティングを使用して、クラウドで機密性の高いワークロードを実行できます。これにより、アプリケーションのコードを変更する必要がなく、機密データを保護できます。Alibaba Cloud は、Intel TDX に基づく Confidential VM (機密 VM) 機能を提供します。詳細については、「TDX 機密コンピューティング環境の構築」をご参照ください。
さらに、Alibaba Cloud は、自社開発の Ali-PRoT (Platform Root-of-Trust) ハードウェアセキュリティチップを ECS ホストに導入しています。これにより、追加の構成なしで、すぐに使える基盤となるハードウェアとファームウェアのセキュリティが提供されます。そのコア機能は次のとおりです：
ファームウェアのプロアクティブな測定： ホストが起動する前に、PRoT は BIOS や BMC などのファームウェアの完全性を検証します。従来の受動的な記録方法とは異なり、PRoT はファームウェアが実行される前に潜在的な脅威をプロアクティブに検出し、ブロックすることができます。検証済みのサーバーのみが起動を許可されるため、ソースレベルでホストのセキュリティが確保されます。
ランタイムの改ざん防止： ホストの実行中、ファームウェアの読み取りと書き込みを継続的に監視します。不正なアクセスや変更をリアルタイムでブロックし、ビジネス環境が信頼できる状態に保たれることを保証します。
ハードウェア ID 認証： チップによって提供される一意のハードウェア ID を、クラウドプラットフォームのセキュリティ制御システムと組み合わせて使用し、物理サーバーを安全に認証します。これにより、不正なデバイスがクラウドプラットフォームにアクセスするのを効果的に防ぎ、プラットフォーム全体のセキュリティレベルを向上させます。
セキュリティ機能の概要図
