Share via

Kontainer rahasia pada Azure Container Instances

  • Artikel

Artikel ini memperkenalkan bagaimana kontainer rahasia di Azure Container Instances dapat memungkinkan Anda mengamankan beban kerja yang berjalan di cloud. Artikel ini menyediakan latar belakang tentang kumpulan fitur, skenario, batasan, dan sumber daya.

Kontainer rahasia di Azure Container Instances memungkinkan pelanggan untuk menjalankan kontainer Linux dalam Trusted Execution Environment (TEE) berbasis perangkat keras dan diuji. Pelanggan dapat mengangkat dan menggeser aplikasi Linux kontainer mereka atau membangun aplikasi komputasi rahasia baru tanpa perlu mengadopsi model pemrograman khusus untuk mencapai manfaat kerahasiaan dalam TEE. Kontainer rahasia pada Azure Container Instances melindungi data yang digunakan dan mengenkripsi data yang digunakan dalam memori. Azure Container Instances memperluas kemampuan ini melalui kebijakan eksekusi yang dapat diverifikasi, dan akar jaminan kepercayaan perangkat keras yang dapat diverifikasi melalui pengesahan tamu.

Cuplikan layar grup kontainer rahasia di Azure Container Instances.

Fitur kontainer rahasia di Azure Container Instances

Mengangkat dan menggeser aplikasi

Pelanggan dapat mengangkat dan menggeser aplikasi Linux kontainer mereka atau membangun aplikasi komputasi rahasia baru tanpa perlu mengadopsi model pemrograman khusus untuk mencapai manfaat kerahasiaan dalam TEE.

Lingkungan eksekusi tepercaya berbasis perangkat keras

Kontainer rahasia pada Azure Container Instances disebarkan dalam grup kontainer dengan TEE terisolasi Hyper-V, yang mencakup kunci enkripsi memori yang dihasilkan dan dikelola oleh prosesor berkemampuan AMD SEV-SNP. Data yang digunakan dalam memori dienkripsi dengan kunci ini untuk membantu memberikan perlindungan terhadap pemutaran ulang data, kerusakan, pemeberian ulang, dan serangan berbasis aliasing.

Kebijakan eksekusi yang dapat diverifikasi

Kontainer rahasia di Azure Container Instances dapat berjalan dengan kebijakan eksekusi yang dapat diverifikasi yang memungkinkan pelanggan memiliki kontrol atas perangkat lunak dan tindakan apa yang diizinkan untuk dijalankan dalam TEE. Kebijakan eksekusi ini membantu melindungi dari pelaku jahat yang menciptakan modifikasi aplikasi tak terduga yang berpotensi membocorkan data sensitif. Kebijakan eksekusi ditulis oleh pelanggan melalui alat yang disediakan dan diverifikasi melalui bukti kriptografi.

Pengesahan tamu jarak jauh

Kontainer rahasia di ACI memberikan dukungan untuk pengesahan tamu jarak jauh yang digunakan untuk memverifikasi kepercayaan grup kontainer Anda sebelum membuat saluran aman dengan pihak yang mengandalkan. Grup kontainer dapat menghasilkan laporan pengesahan perangkat keras SNP, yang ditandatangani oleh perangkat keras dan mencakup informasi tentang perangkat keras dan perangkat lunak. Laporan pengesahan perangkat keras yang dihasilkan ini kemudian dapat diverifikasi oleh layanan Microsoft Azure Attestation melalui aplikasi sidecar sumber terbuka atau oleh layanan pengesahan lain sebelum data sensitif dirilis ke TEE.

Kebijakan penegakan komputasi rahasia

Kontainer rahasia mendukung integritas dan pengesahan tingkat kontainer melalui kebijakan penerapan komputasi rahasia (CCE). Kebijakan penegakan komputasi rahasia menentukan komponen yang diizinkan untuk berjalan dalam grup kontainer dan akan diberlakukan oleh runtime kontainer.

Ekstensi confcom Azure CLI

Ekstensi confcom Azure CLI memungkinkan pelanggan untuk menghasilkan kebijakan penegakan komputasi rahasia menggunakan templat ARM sebagai input dan menyediakan kebijakan string 64 dasar sebagai output. Output ini disertakan dalam definisi grup kontainer untuk memberlakukan komponen mana yang diizinkan untuk dijalankan. Untuk detail selengkapnya tentang penulisan kebijakan eksekusi komputasi rahasia, lihat Ekstensi confcom Azure CLI.

Rilis kunci aman dan sespan sistem file terenkripsi

Kontainer rahasia pada Azure Container Instances terintegrasi dengan dua sidecar sumber terbuka untuk mendukung fungsionalitas rahasia dalam grup kontainer. Anda dapat menemukan sespan ini dan informasi lebih lanjut di repositori sespan rahasia.

Sespan rilis kunci aman

Kontainer rahasia di Azure Container Instances menyediakan kontainer sumber terbuka sidecar untuk pengesahan dan rilis kunci yang aman. Sespan ini membuat instans server web, yang mengekspos REST API sehingga kontainer lain dapat mengambil laporan pengesahan perangkat keras atau token Microsoft Azure Attestation melalui metode POST. Sidecar terintegrasi dengan Azure Key Vault untuk merilis kunci ke grup kontainer setelah validasi selesai.

Sidecar sistem file terenkripsi

Kontainer rahasia pada Azure Container Instances menyediakan kontainer sidecar untuk memasang sistem file terenkripsi jarak jauh yang sebelumnya diunggah ke Azure Blob Storage. Kontainer sespan secara transparan mengambil pengesahan perangkat keras dan rantai sertifikat yang mendukung kunci penandatanganan pengesahan. Kemudian meminta Microsoft Azure Attestation untuk mengotorisasi token pengesahan, yang diperlukan untuk melepaskan kunci enkripsi sistem file dengan aman dari HSM terkelola. Kunci dirilis ke kontainer sespan hanya jika token pengesahan ditandatangani oleh otoritas yang diharapkan dan klaim pengesahan cocok dengan kebijakan rilis kunci. Kontainer sespan secara transparan menggunakan kunci untuk memasang sistem file terenkripsi jarak jauh; proses ini akan menjaga kerahasiaan dan integritas sistem file pada operasi apa pun dari kontainer yang berjalan dalam grup kontainer.

Skenario

Ruang bersih data untuk analitik data multi-pihak dan pelatihan pembelajaran mesin

Transaksi bisnis dan kolaborasi proyek sering kali memerlukan berbagi data rahasia di antara beberapa pihak. Data ini dapat mencakup informasi pribadi, informasi keuangan, dan catatan medis yang perlu dilindungi dari akses yang tidak sah. Kontainer rahasia di Azure Container Instances menyediakan fitur yang diperlukan (TEEs berbasis perangkat keras, pengesahan jarak jauh) bagi pelanggan untuk memproses data pelatihan dari berbagai sumber tanpa mengekspos data input ke pihak lain. Ini memungkinkan organisasi untuk mendapatkan nilai lebih dari himpunan data mereka atau mitra mereka sambil mempertahankan kontrol atas akses ke informasi sensitif mereka. Ini membuat kontainer rahasia pada Azure Container Instances ideal untuk skenario analitik data multi-pihak seperti pembelajaran mesin rahasia.

Cuplikan layar model pelatihan ML di Azure Container Instances.

Inferensi rahasia

ACI menyediakan penyebaran yang cepat dan mudah, alokasi sumber daya yang fleksibel, dan membayar harga per penggunaan, yang memposisikannya sebagai platform yang bagus untuk beban kerja inferensi rahasia. Dengan kontainer rahasia pada Azure Container Instances, pengembang model dan pemilik data dapat berkolaborasi sambil melindungi kekayaan intelektual pengembang model dan menjaga data yang digunakan untuk menyimpulkan aman dan privat. Lihat contoh penyebaran inferensi rahasia menggunakan kontainer rahasia di Azure Container Instances.

Cuplikan layar model inferensi ML pada Azure Container Instances.

Skenario yang Tidak Didukung

  • Kebijakan penegakan komputasi rahasia harus dihasilkan oleh ekstensi confcom Azure CLI dan tidak dapat dibuat secara manual.

Sumber

Langkah berikutnya