الأسئلة المتداولة حول عُقد الحوسبة السرية على خدمة Azure Kubernetes (AKS)

نعم، لعُقد جيب Intel SGX.

نعم، تدعم عقد DCSv3 VM الشبكات المتسارعة. لا تقوم الأجهزة الظاهرية DCSv2 بذلك.

حاليا، يتم تثبيت أجهزة Azure الظاهرية للحوسبة السرية DCSv2/DCSv3 مع Intel SGX DCAP 1.33.2

عدد تدعم عقد الحوسبة السرية المستندة إلى AKS-Engine عُقد الحوسبة السرية التي تسمح بالتثبيتات المخصصة ولها تحكم كامل في مستوى التحكم في Kubernetes.

نعم، يمكنك تشغيل تجمعات عقد مختلفة داخل نفس مجموعة AKS بما في ذلك عُقد ACC. لاستهداف تطبيقات الجيب الخاصة بك على تجمع عقدة معينة، ضع في اعتبارك إضافة محددات العُقد أو تطبيق حدود EPC. راجع المزيد من التفاصيل حول التشغيل السريع على العُقد السرية هنا.

ليس في الوقت الحالي. اتصل بفريق المنتج acconaks@microsoft.com إذا كان لديك عقد Windows أو احتياجات الحاوية.

نعم. لدى الأجهزة الظاهرية أيضًا ذاكرة عادية يمكنها تشغيل أحمال العمل القياسية للحاوية. ضع في الاعتبار نموذج الأمان والتهديد للتطبيقات قبل اتخاذ قرار بشأن نماذج النشر.

DCSv2/DCsv3 SKUs. يتوفر المزيد حول سلسلتي DCSv2 وDCSv3 في المناطق المدعومة

نعم. يمكن استخدام Azure CLI كبديل، كما هو موثق هنا.

18.04 على Gen 2.

• يدعم عقد الجهاز الظاهري لـ Ubuntu 18.04 Gen 2 فقط
• لا يدعم عقد Windows أو يدعم حاويات Windows
• لا يتم اعتماد ذاكرة EPC المستندة إلى التحجيم التلقائي للجراب الأفقي. CPU والتحجيم العادي المستند إلى الذاكرة معتمدان.
• مسافات التطوير على AKS للتطبيقات السرية غير مدعومة حاليًّا

نعم. يمكن استخدام Azure CLI كبديل، كما هو موثق هنا.

نعم، سوف تُحضر برنامج تضمين SGX للتشغيل في جيب Intel SGX، راجع صفحة الحاويات السرية لمزيد من التفاصيل عن عوامل تمكين النظام الأساسي.

توفر عوامل التمكين المختلفة (مشاريع ISVs وOSS) طرقًا لتمكين الحاويات السرية. راجع صفحة الحاويات السرية لمزيد من التفاصيل والإشارات الفردية إلى عمليات التنفيذ.

الإثبات عبارة عن عملية إثبات وتحقق من أن قطعة من البرامج قد تم إنشاء مثيل لها بشكل صحيح على منصة الأجهزة المحددة. كما يضمن إمكانية التحقق من الأدلة الخاصة به لتقديم ضمانات بأنه يعمل في نظام أساسي آمن ولم يتم العبث به. اقرأ المزيد حول كيفية إثبات تطبيقات الجيب.

تنطبق ذاكرة EPC على الجزء من التطبيق المبرمج للتنفيذ في الجيب. الحجم الإجمالي للحاوية ليس الطريقة الصحيحة لمقارنته مع أقصى ذاكرة EPC متوفرة. في الواقع، أجهزة DCSv2 المزودة بـ SGX تتيح أقصى ذاكرة لجهاز ظاهري بقيمة 32 غيغابايت، حيث سيستخدم الجزء الخاص بك غير الموثوق به من التطبيق. ومع ذلك، إذا كانت الحاوية تستهلك أكثر من ذاكرة EPC المتوفرة، فقد يتأثر أداء الجزء من البرنامج الذي يعمل في الجيب.

لإدارة ذاكرة EPC بشكل أفضل في العقد العاملة، ضع في الاعتبار إدارة الحدود المستندة إلى ذاكرة EPC من خلال Kubernetes. اتبع المثال أدناه كمرجع.

apiVersion: batch/v1
kind: Job
metadata:
  name: sgx-test
  labels:
    app: sgx-test
spec:
  template:
    metadata:
      labels:
        app: sgx-test
    spec:
      containers:
      - name: sgxtest
        image: oeciteam/sgx-test: 1.0
        resources:
          limits:
            sgx.intel.com/sgx_epc_mem_in_MiB: 10 # This limit will automatically place the job into confidential computing node. Alternatively, you can target deployment to node pools
      restartPolicy: Never
  backoffLimit: 0

تتم مشاركة إجمالي الذاكرة EPC المتوفرة بين التطبيقات في الجيب في نفس الأجهزة الظاهرية أو العقد العاملة. إذا كان تطبيقك يستخدم ذاكرة EPC أكثر من المتوفرة، فحينئذٍ قد يتأثر أداء التطبيق. لهذا السبب، نوصي بتعيين التسامح لكل تطبيق في ملف yaml للنشر الخاص بك لإدارة ذاكرة EPC المتوفرة لكل عقد عاملة كما هو موضح في الأمثلة أعلاه. بدلاً من ذلك، يمكنك دائمًا اختيار الانتقال إلى أعلى على أحجام تجمع عقدة العامل للجهاز الظاهري أو إضافة المزيد من العقد.

حاليًّا، تدعم الحوسبة السرية وحدة إدارة مخزون الأجهزة الظاهرية لـ Azure DCsv2 مساحة عنوان واحد للبرنامج المنفذ في جيب. عملية واحدة قيد الحالي مصممة حول الأمان العالي. ومع ذلك، قد تكون لتمكين حاوية سرية تطبيقات بديلة للتغلب على هذا القيد.

عدد يساعدك المنتج الذي يوفر الوظيفة الإضافية ACC التي تتضمن (confcom) في ذلك. اقرأ المزيد عن تفاصيل النشر هنا.

عدد لإجراء أي عمليات تثبيت مخصصة، نوصي باختيار عمليات نشر عُقد عامل الحوسبة السرية AKS-Engine.

ليس بصورة أصلية أثناء تهيئة الجيب، ولكن نعم من خلال عملية الإثبات، يمكن التحقق من صحة التوقيع. المرجع هنا.

تسمح الحاويات السرية بالتوقيع على التعليمة البرمجية للجيب ولكن ليس على حاوية Docker نفسها. مع التوقيع على التعليمة البرمجية للجيب (وهي عادة التعليمة البرمجية لتطبيقك الأساسي في Java وPython،... إلخ)، ويمكنك التحقق من خلال شهادة تفاصيل MRSIGNER من التعليمة البرمجية للجيب قبل أن تتمكن من الثقة في التعليمات البرمجية وبيئة التنفيذ من خلال تدفق الإثبات.

الخطوات التالية

راجع صفحة الحاويات السرية لمزيد من التفاصيل حول الحاويات السرية.