Le istanze VM riservate sono un tipo di macchina virtuale Compute Engine. Utilizzano la crittografia della memoria basata su hardware per garantire che i tuoi dati e le tue applicazioni non possano essere letti o modificati durante l'uso.
Le istanze Confidential VM offrono i seguenti vantaggi:
Isolamento: le chiavi di crittografia vengono generate da hardware dedicato e risiedono esclusivamente al suo interno, il che le rende inaccessibili all'hypervisor.
Attestazione: puoi verificare l'identità e lo stato della VM per assicurarti che i componenti chiave non siano stati manomessi.
Questo tipo di isolamento e attestazione hardware è noto come Trusted Execution Environment (TEE).
Puoi abilitare il servizio Confidential VM ogni volta che crei una nuova istanza VM.
Tecnologie di Confidential Computing
Quando configuri un'istanza Confidential VM, il tipo di tecnologia di calcolo riservato utilizzato si basa sul tipo di macchina e sulla piattaforma CPU che scegli. Quando scegli una tecnologia Confidential Computing, assicurati che soddisfi le tue esigenze di costo e prestazioni.
AMD SEV
AMD Secure Encrypted Virtualization (SEV) su Confidential VM offre la crittografia della memoria basata su hardware tramite il processore AMD Secure e l'attestazione al momento dell'avvio tramite il vTPM di Google.
AMD SEV offre prestazioni elevate per attività di calcolo impegnative. La differenza di prestazioni tra una VM SEV Confidential e una VM Compute Engine standard può variare da nessuna a minima, a seconda del carico di lavoro.
A differenza di altre tecnologie Confidential Computing su Confidential VM, le macchine AMD SEV che utilizzano il tipo di macchina N2D supportano la migrazione live.
Leggi il white paper AMD SEV.
AMD SEV-SNP
AMD Secure Encrypted Virtualization-Secure Nested Paging (SEV-SNP) amplia SEV, aggiungendo la sicurezza basata sull'hardware per contribuire a prevenire attacchi basati su hypervisor dannosi come il replay dei dati e il rimappamento della memoria. I report di attestazione possono essere richiesti in qualsiasi momento direttamente dal processore AMD Secure.
Poiché AMD SEV-SNP offre più funzionalità di sicurezza, richiede più risorse rispetto a SEV. In particolare, a seconda del carico di lavoro, potresti riscontrare una larghezza di banda della rete inferiore e una latenza della rete più elevata.
Leggi il white paper AMD SEV-SNP.
Intel TDX
Intel Trust Domain Extensions (TDX) è un TEE basato su hardware. TDX crea un dominio attendibile (TD) isolato all'interno di una VM e utilizza estensioni hardware per gestire e criptare la memoria.
Intel TDX migliora la difesa del TD contro forme limitate di attacchi che utilizzano accesso fisico alla memoria della piattaforma, come l'analisi offline della memoria dinamica con accesso casuale (DRAM) e attacchi attivi alle interfacce DRAM, tra cui acquisizione, modifica, ricollocazione, splicing e aliasing dei contenuti della memoria.
Leggi il white paper di Intel TDX.
Servizi Confidential VM
Oltre a Compute Engine, i seguenti Google Cloud servizi fanno uso di Confidential VM:
Confidential GKE Nodes obbligano all'utilizzo di Confidential VM per tutti i nodi GKE.
Confidential Space utilizza le VM riservate per consentire alle parti di condividere dati sensibili con un carico di lavoro concordato, mantenendo la riservatezza e la proprietà di questi dati.
Dataproc Confidential Computing include cluster Dataproc che utilizzano le VM riservate.
Confidential VM Dataflow include le istanze Confidential VM worker Dataflow.
Passaggi successivi
Scopri di più sulle configurazioni supportate di Confidential VM.