Valider des Confidential VM à l'aide de Cloud Monitoring

Cloud Monitoring et Cloud Logging vous permettent de surveiller et de valider vos instances de Confidential VM. Cet article explique en détail ce que vous pouvez surveiller, comment afficher les rapports enregistrés et ce que vous pouvez y rechercher.

Surveillance de l'intégrité

La surveillance de l'intégrité est une fonctionnalité des VM protégées et de Confidential VM qui vous aide à comprendre l'état de vos instances de VM et à prendre des décisions les concernant.

Le reste de cette section contient des informations sur l'utilisation de la surveillance de l'intégrité avec des Confidential VM.

Activer la surveillance de l'intégrité

La surveillance de l'intégrité est activée par défaut dans les nouvelles instances de Confidential VM. Pour savoir comment modifier les paramètres de surveillance de l'intégrité, y compris l'activation ou la désactivation du démarrage sécurisé, du module vTPM et de la surveillance de l'intégrité à proprement parler, consultez la page Modifier les options de VM protégée.

Afficher les rapports d'intégrité

Vous pouvez afficher les rapports d'intégrité dans Cloud Monitoring et configurer des alertes pour les échecs d'intégrité. Vous pouvez également examiner les détails des résultats de la surveillance de l'intégrité dans Cloud Logging. Pour savoir comment afficher les événements de validation de l'intégrité et définir des alertes à leur sujet, consultez la section Surveiller l'intégrité du processus de démarrage de la VM à l'aide de Cloud Monitoring.

Afficher les événements du rapport d'attestation de lancement

Confidential VM génère un type d'événement de validation d'intégrité unique, appelé événement de rapport d'attestation de lancement. À chaque démarrage d'une Confidential VM basée sur la norme AMD SEV (Secure Encrypted Virtualization), un événement de rapport d'attestation de lancement est généré dans le cadre des événements de validation d'intégrité de la VM.

Pour afficher l'événement du rapport d'attestation de lancement à partir du rapport d'intégrité, procédez comme suit :

  1. Dans Google Cloud Console, accédez à la page Instances de VM.

    Accéder à la page Instances de VM

  2. Cliquez sur le nom de l'instance de Confidential VM pour ouvrir la page Informations sur l'instance de VM.

  3. Sous Logs (Journaux), cliquez sur Stackdriver Logging.

  4. Logging s'ouvre et des événements de validation d'intégrité s'affichent dans le rapport d'intégrité.

    La capture d'écran suivante montre un rapport d'intégrité typique :

    Rapport d'intégrité (cliquez pour agrandir).

    Recherchez la chaîne sevLaunchAttestationReportEvent.

    Pour afficher les détails d'un événement spécifique, cliquez sur la flèche de développement . Vous pouvez ouvrir tous les nœuds de l'arborescence simultanément en cliquant sur Expand all (Tout développer).

À propos des événements du rapport d'attestation de lancement

Les événements du rapport d'attestation de lancement permettent de vérifier si une VM est une Confidential VM basée sur AMD SEV. Un événement du rapport d'attestation de lancement contient des informations telles que les suivantes :

  • integrityEvaluationPassed : résultat d'une vérification de l'intégrité effectuée par le moniteur de machine virtuelle sur la mesure calculée par AMD SEV.
  • sevPolicy : bits de règles AMD SEV définis pour cette VM. Les bits de règles sont définis lors du lancement de Confidential VM pour appliquer des contraintes telles que l'activation ou la désactivation du mode de débogage.

La capture d'écran suivante montre un événement de rapport d'attestation de lancement typique :

Événement de rapport d'attestation de lancement typique (cliquez pour agrandir).

Vous pouvez également exploiter le démarrage sécurisé et le démarrage mesuré, qui utilisent tous deux une VM protégée.

Démarrage sécurisé

Le démarrage sécurisé vous permet de vous assurer que le système de l'instance de Confidential VM n'exécute que des logiciels authentiques. Il vérifie pour cela la signature numérique de tous les composants de démarrage et arrête le processus de démarrage si cette vérification échoue. Le micrologiciel signé et validé par l'autorité de certification de Google établit la racine de confiance pour le démarrage sécurisé, qui vérifie l'identité de votre VM, et s'assure qu'elle fait partie du projet et de la région spécifiés.

Le démarrage sécurisé n'est pas activé par défaut. Pour découvrir comment activer cette fonctionnalité et en savoir plus, consultez la section Démarrage sécurisé.

Démarrage mesuré

Le démarrage mesuré est activé par le module vTPM (Virtual Trusted Platform Module) d'une Confidential VM et permet d'éviter les modifications malveillantes de la Confidential VM. Le démarrage mesuré surveille l'intégrité du bootloader, du noyau et des pilotes de démarrage d'une instance de Confidential VM.

Le démarrage mesuré est activé par défaut dans les nouvelles instances de Confidential VM. En savoir plus sur le démarrage mesuré

Étapes suivantes