Confidential Computing のコンセプト

このページでは、Confidential VM の主なコンセプトと用語について説明します。Confidential VM の使用を開始するには、クイックスタートをご覧ください。

Confidential Computing

Confidential Computing は、ハードウェア ベースの Trusted Execution Environment(TEE)により、使用中のデータを保護します。TEE は、使用中のアプリケーションやデータへの不正アクセスや変更を防ぐ、安全で隔離された環境です。このセキュリティ標準は、Confidential Computing Consortium によって定義されています。

エンドツーエンドの暗号化

エンドツーエンドの暗号化は 3 つの状態で構成されています。

  • 保存データの暗号化は、保存中のデータを保護します。
  • 転送データの暗号化は、データが 2 つのポイント間を移動する際に保護します。
  • 使用中データの暗号化により、処理中のデータを保護します。

Confidential Computing は、エンドツーエンドの暗号化の最後の部分である使用中の暗号化も提供します。

Confidential VMs

Confidential VMs は Compute Engine VM の一種で、使用中のデータとアプリケーションが非公開の状態で暗号化されます。Confidential VMs はセキュリティ戦略の一環として使用できるため、処理中に機密データやワークロードが公開されることがありません。

Confidential VMs は、AMD Secure Encrypted Virtualization(SEV)を搭載した AMD EPYC プロセッサを使用するホストで実行されます。SEV を Confidential VMs に組み込むと、次のようなメリットがあります。

  • 分離: 暗号鍵は VM の作成時に AMD Secure Processor(SP)によって生成され、AMD System-On-Chip(SOC)内のみで使用されます。これらの鍵には Google からはアクセスできず、分離が強化されています。

  • 証明書: Confidential VMs は、仮想トラステッド プラットフォーム モジュール(vTPM)の証明書を使用します。AMD SEV ベースの Confidential VMs が起動されるたびに、リリース証明書レポート イベントが生成されます。

  • 高パフォーマンス: AMD SEV は、要求の厳しいコンピューティング タスクを高パフォーマンスで実行します。Confidential VMs を有効にしても、ほとんどのワークロードへの影響はほとんどなく、パフォーマンスは 0~6% 低下します。

Confidential VMs を有効にする

新しい VM を作成するたびに、Confidential Computing を有効にできます。Confidential VMs の作成で必要になるのは、標準 VM を作成する場合よりも 1 つ多いチェックボックスまたは 1~2 行多いコードだけです。使い慣れた他のツールやワークフローを引き続き使用できます。Confidential Computing を追加するために既存のアプリケーションを変更する必要はありません。

その他の Confidential Computing サービス

Google Cloud では、次の Confidential Computing サービスも提供しています。

次のステップ