VMs confidenciais e Compute Engine

Uma máquina virtual confidencial (VM confidencial) é um tipo de VM N2D do Compute Engine executada em hosts com base na segunda geração de processadores AMD Epyc, apelidada de "Roma". Usando a virtualização criptografada segura (SEV, na sigla em inglês) AMD, a VM confidencial otimiza o desempenho e a segurança para cargas de trabalho de alta memória de nível empresarial. Além disso, essa VM inclui criptografia de memória in-line que não introduz impactos significativos no desempenho dessas cargas de trabalho.

Esses recursos permitem que você mantenha seus dados e apps sempre criptografados, incluindo durante o processamento de dados confidenciais na memória. O Google não tem acesso às chaves de criptografia. Além da criptografia de dados em trânsito e em repouso usando chaves de criptografia gerenciadas pelo cliente e chaves de criptografia fornecidas pelo cliente (respectivamente, CMEK e CSEK, nas siglas em inglês), a VM confidencial adiciona um "terceiro pilar" à história de criptografia de ponta a ponta ao criptografar dados enquanto está em uso. Além disso, a VM confidencial pode ajudar a diminuir as preocupações referentes aos riscos relacionados à dependência da infraestrutura do Google ou ao acesso aos dados do cliente por parte de pessoas com informações privilegiadas do Google.

É possível selecionar o serviço de VM confidencial ao criar uma nova VM usando o Console do Google Cloud, a API Compute Engine (Beta) ou a ferramenta de linha de comando gcloud.

Benefícios para o usuário

A família de processadores AMD Rome é otimizada especificamente para cargas de trabalho com uso intenso de computação, com alta capacidade de processamento e de memória e compatibilidade com cargas de trabalho em paralelo. Além disso, o SEV AMD tem compatibilidade com a Computação confidencial.

O SEV AMD oferece alto desempenho para as tarefas computacionais mais exigentes, mantendo toda a memória criptografada com uma chave de instância dedicada por VM gerada pelo hardware. Essas chaves são geradas pelo processador de segurança da plataforma (PSP, na sigla em inglês) AMD durante a criação da VM e residem exclusivamente no processador. Essas chaves não podem ser acessadas pelo Google.

Recursos de segurança e privacidade

Com os ambientes de execução confidenciais fornecidos pela VM confidencial e pelo SEV AMD, o Google Cloud mantém o código confidencial dos clientes e outros dados criptografados na memória durante o processamento.

A criptografia de memória garante que os dados sejam criptografados enquanto estiverem na RAM. A criptografia da memória principal é executada usando hardware dedicado nos controladores de memória no mesmo chip. Cada controlador inclui um mecanismo padrão de criptografia avançada (AES, na sigla em inglês) de alto desempenho. O mecanismo AES criptografa os dados à medida que eles são gravados no DRAM ou compartilhados entre soquetes e os descriptografa quando os dados são lidos. Isso torna o conteúdo da memória mais resistente a espionagem de memória e ataques de inicialização a frio.

A seguir