Recomendações de pré-leitura

Este documento foi criado para ajudá-lo a orientar o processo de seleção de uma oferta de contêiner na Computação Confidencial do Azure que melhor se adapte aos seus requisitos de carga de trabalho e postura de segurança. Para aproveitar ao máximo o guia, recomendamos as seguintes leituras.

Matriz de Decisão de Computação do Azure

Familiarize-se com as ofertas gerais do Azure Compute para entender o contexto mais amplo no qual a Computação Confidencial do Azure opera.

Introdução à Computação Confidencial do Azure

A Computação Confidencial do Azure oferece soluções para permitir o isolamento dos seus dados confidenciais enquanto estão a ser processados na nuvem. Você pode ler mais sobre computação confidencial Computação confidencial do Azure.

Atestado

O atestado é um processo que fornece garantias em relação à integridade e identidade dos ambientes de hardware e software nos quais os aplicativos são executados. Em Computação Confidencial, o atestado permite verificar se seus aplicativos estão sendo executados em hardware confiável e em um ambiente de execução confiável.

Saiba mais sobre o atestado e o serviço de atestado do Microsoft Azure em Atestado no Azure

Definição de isolamento de memória

Na computação confidencial, o isolamento de memória é um recurso crítico que protege os dados durante o processamento. O Confidential Computing Consortium define isolamento de memória como:

"O isolamento de memória é a capacidade de impedir o acesso não autorizado a dados na memória, mesmo que o invasor tenha comprometido o sistema operacional ou outro software privilegiado. Isso é conseguido usando recursos baseados em hardware para criar um ambiente seguro e isolado para carga de trabalho confidencial."

Escolhendo uma oferta de contêiner na Computação Confidencial do Azure

A Computação Confidencial do Azure oferece várias soluções para implantação e gerenciamento de contêineres, cada uma adaptada para diferentes níveis de isolamento e recursos de atestado.

A sua configuração atual e as suas necessidades operacionais ditam o caminho mais relevante através deste documento. Se você já estiver utilizando o Serviço Kubernetes do Azure (AKS) ou tiver dependências em APIs do Kubernetes, recomendamos seguir os caminhos do AKS. Por outro lado, se você estiver fazendo a transição de uma configuração de Máquina Virtual e estiver interessado em explorar contêineres sem servidor, o caminho ACI (Instâncias de Contêiner do Azure) deve ser de interesse.

Azure Kubernetes Service (AKS)

Nós de trabalho de VM confidenciais

• Atestado de convidado: capacidade de verificar se você está operando em uma máquina virtual confidencial fornecida pelo Azure.
• Isolamento de memória: isolamento em nível de VM com chave de criptografia de memória exclusiva por VM.
• Modelo de programação: zero a alterações mínimas para aplicações em contêineres. O suporte é limitado a contêineres baseados em Linux (contêineres que usam uma imagem base do Linux para o contêiner).

Você pode encontrar mais informações sobre Introdução aos nós de trabalhador da CVM com uma carga de trabalho de elevação e deslocamento para o pool de nós da CVM.

Contentores confidenciais no AKS

• Atestado Completo de Convidado: Permite o atestado do ambiente de computação confidencial completo, incluindo a carga de trabalho.
• Isolamento de memória: isolamento em nível de nó com uma chave de criptografia de memória exclusiva por VM.
• Modelo de programação: zero a alterações mínimas para aplicativos em contêineres (contêineres usando uma imagem base Linux para o contêiner).
• Cargas de trabalho ideais: aplicativos com processamento de dados confidenciais, cálculos de várias partes e requisitos de conformidade regulamentar.

Você pode encontrar mais informações em Contêineres confidenciais com o Serviço Kubernetes do Azure.

Nós de computação confidenciais com Intel SGX

• Atestado de enclave de aplicativo: habilita o atestado do contêiner em execução em cenários em que a VM não é confiável, mas apenas o aplicativo é confiável, garantindo um nível elevado de segurança e confiança no ambiente de execução do aplicativo.
• Isolamento: Isolamento no nível do processo.
• Modelo de programação: Requer o uso de sistema operacional de biblioteca de código aberto ou soluções de fornecedor para executar aplicativos em contêineres existentes. O suporte é limitado a contêineres baseados em Linux (contêineres que usam uma imagem base do Linux para o contêiner).
• Cargas de trabalho ideais: aplicativos de alta segurança, como sistemas de gerenciamento de chaves.

Pode encontrar mais informações sobre a oferta e as nossas soluções de parceiros aqui.

Sem servidor

Contêineres confidenciais em instâncias de contêiner do Azure (ACI)

• Atestado Completo de Convidado: Permite o atestado do ambiente de computação confidencial completo, incluindo a carga de trabalho.
• Isolamento: isolamento no nível do grupo de contêineres com uma chave de criptografia de memória exclusiva por grupo de contêineres.
• Modelo de programação: zero a alterações mínimas para aplicações em contêineres. O suporte é limitado a contêineres baseados em Linux (contêineres que usam uma imagem base do Linux para o contêiner).
• Cargas de trabalho ideais: Rápido desenvolvimento e implantação de cargas de trabalho simples em contêineres sem orquestração. Suporte para bursting de AKS usando nós virtuais.

Você pode encontrar mais detalhes em Introdução aos contêineres confidenciais no ACI.

Mais informações

Máquinas virtuais confidenciais Intel SGX em contêineres confidenciais do Azure no Azure