Les instances de VM Confidential sont un type de machine virtuelle Compute Engine. Ils utilisent le chiffrement de la mémoire basé sur le matériel pour s'assurer que vos données et applications ne peuvent pas être lues ni modifiées lorsqu'elles sont utilisées.
Les instances de Confidential VM offrent les avantages suivants:
Isolation: les clés de chiffrement sont générées par du matériel dédié, inaccessible à l'hyperviseur, et ne résident que dans ce matériel.
Attestation: vous pouvez vérifier l'identité et l'état de la VM pour vous assurer que les composants clés n'ont pas été altérés.
Ce type d'isolation et d'attestation matérielle est appelé environnement d'exécution sécurisé (TEE).
Vous pouvez activer le service Confidential VM chaque fois que vous créez une instance de VM.
Technologies d'informatique confidentielle
Lorsque vous configurez une instance de VM confidentielle, le type de technologie de calcul confidentiel utilisé dépend du type de machine et de la plate-forme de processeur que vous choisissez. Lorsque vous choisissez une technologie de calcul confidentiel, assurez-vous qu'elle répond à vos besoins en termes de performances et de coûts.
AMD SEV
La virtualisation AMD SEV (Secure Encrypted Virtualization) sur les Confidential VM offre un chiffrement de la mémoire basé sur le matériel via le processeur AMD Secure et une attestation au démarrage via le vTPM de Google.
AMD SEV offre de hautes performances pour les tâches de calcul exigeantes. La différence de performances entre une VM SEV Confidential et une VM Compute Engine standard peut aller de rien à minimal, en fonction de la charge de travail.
Contrairement aux autres technologies d'informatique confidentielle sur les Confidential VM, les machines AMD SEV qui utilisent le type de machine N2D sont compatibles avec la migration à chaud.
Consultez le livre blanc AMD SEV.
AMD SEV-SNP
La fonctionnalité AMD SEV-SNP (Secure Encrypted Virtualization-Secure Nested Paging) étend SEV en ajoutant une sécurité basée sur le matériel pour aider à prévenir les attaques malveillantes basées sur l'hyperviseur, telles que la relecture de données et le remappage de mémoire. Les rapports d'attestation peuvent être demandés à tout moment directement à partir du processeur sécurisé AMD.
Étant donné qu'AMD SEV-SNP offre plus de fonctionnalités de sécurité, il est plus gourmand en ressources que SEV. En particulier, en fonction de la charge de travail, vous pouvez constater une bande passante réseau plus faible et une latence réseau plus élevée.
Lisez le livre blanc AMD SEV-SNP.
Intel TDX
Intel Trust Domain Extensions (TDX) est un TEE basé sur le matériel. TDX crée un domaine de confiance (TD) isolé dans une VM et utilise des extensions matérielles pour gérer et chiffrer la mémoire.
Intel TDX renforce la défense du TD contre des formes limitées d'attaques qui utilisent un accès physique à la mémoire de la plate-forme, telles que l'analyse hors connexion de la mémoire vive dynamique (DRAM) et les attaques actives des interfaces DRAM, y compris la capture, la modification, la relocalisation, l'épissage et l'aliasing du contenu de la mémoire.
Lisez le livre blanc Intel TDX.
Services Confidential VMs
En plus de Compute Engine, les services suivants utilisent Confidential VM : Google Cloud
La fonctionnalité Google Kubernetes Engine Node applique l'utilisation de Confidential VM pour tous vos nœuds GKE.
Confidential Space utilise des Confidential VM pour permettre aux parties de partager des données sensibles avec une charge de travail mutuellement convenue, tout en conservant la confidentialité et la propriété de ces données.
L'informatique confidentielle de Dataproc dispose de clusters Dataproc qui utilisent des Confidential VM.
Les Confidential VMs Dataflow comportent des instances de Confidential VM de nœuds de calcul Dataflow.
Étape suivante
Découvrez les configurations compatibles avec Confidential VM.