机密计算概念

本页面讨论机密虚拟机的关键概念和术语。如需开始使用机密虚拟机,请参阅快速入门

机密计算

机密计算是通过基于硬件的可信执行环境 (TEE) 保护使用中的数据的方法。TEE 是安全且独立的环境,可防止对使用中的应用和数据进行未经授权的访问或修改。此安全标准由机密计算联盟定义。

端到端加密

端到端加密由三种状态组成。

  • 静态加密可保护存储的数据。
  • 传输中的加密可保护两点之间传输的数据。
  • 使用中的加密可保护正在处理的数据。

机密计算提供最后的端到端加密:使用中的加密。

机密虚拟机

机密虚拟机是一种 Compute Engine 虚拟机,可确保您的数据和应用即使在使用时也能保持非公开和加密状态。您可以将机密虚拟机用作安全策略的一部分,来避免在处理期间公开敏感数据或工作负载。

机密虚拟机在配备具有 AMD 安全加密虚拟化 (SEV) 功能的 AMD EPYC 处理器的主机上运行。将 SEV 整合到机密虚拟机中可提供以下优势和功能。

  • 隔离:加密密钥在虚拟机创建期间由 AMD 安全处理器 (SP) 生成,仅位于 AMD 系统芯片 (SOC) 内。这些密钥有助于提高隔离效果,即使是 Google 也无法对其进行访问。

  • 证明:机密虚拟机使用虚拟可信平台模块 (vTPM) 进行证明。每当基于 AMD SEV 的机密虚拟机启动时,系统都会生成启动证明报告事件

  • 高性能:AMD SEV 可为苛刻的计算任务提供较高的性能。启用机密虚拟机对大多数工作负载几乎没有什么影响,性能仅下降 0-6%。

启用机密虚拟机

每当创建新虚拟机时,您都可以启用机密计算。相比创建标准虚拟机,创建机密虚拟机只需要选中一个额外的复选框或多编写 1-2 行代码即可。您可以继续使用熟悉的其他工具和工作流。添加机密计算不需要对现有应用进行任何更改。

其他机密计算服务

Google Cloud 还提供以下机密计算服务:

后续步骤