Présentation de Confidential VM

Les instances de VM Confidential sont un type de machine virtuelle Compute Engine. Ils utilisent le chiffrement de la mémoire basé sur le matériel pour s'assurer que vos données et applications ne peuvent pas être lues ni modifiées lorsqu'elles sont utilisées.

Les instances de Confidential VM offrent les avantages suivants:

  • Isolation: les clés de chiffrement sont générées par du matériel dédié, inaccessible à l'hyperviseur, et ne résident que dans ce matériel.

  • Attestation: vous pouvez vérifier l'identité et l'état de la VM pour vous assurer que les composants clés n'ont pas été altérés.

Ce type d'isolation et d'attestation matérielle est appelé environnement d'exécution sécurisé (TEE).

Vous pouvez activer le service Confidential VM chaque fois que vous créez une instance de VM.

Lorsque vous configurez une instance de VM confidentielle, le type de technologie de calcul confidentiel utilisé dépend du type de machine et de la plate-forme de processeur que vous choisissez. Lorsque vous choisissez une technologie de calcul confidentiel, assurez-vous qu'elle répond à vos besoins en termes de performances et de coûts.

AMD SEV

La virtualisation AMD SEV (Secure Encrypted Virtualization) sur les Confidential VM offre un chiffrement de la mémoire basé sur le matériel via le processeur AMD Secure et une attestation au démarrage via le vTPM de Google.

AMD SEV offre de hautes performances pour les tâches de calcul exigeantes. La différence de performances entre une VM SEV Confidential et une VM Compute Engine standard peut aller de rien à minimal, en fonction de la charge de travail.

Contrairement aux autres technologies d'informatique confidentielle sur les Confidential VM, les machines AMD SEV qui utilisent le type de machine N2D sont compatibles avec la migration à chaud.

Consultez le livre blanc AMD SEV.

AMD SEV-SNP

La fonctionnalité AMD SEV-SNP (Secure Encrypted Virtualization-Secure Nested Paging) étend SEV en ajoutant une sécurité basée sur le matériel pour aider à prévenir les attaques malveillantes basées sur l'hyperviseur, telles que la relecture de données et le remappage de mémoire. Les rapports d'attestation peuvent être demandés à tout moment directement à partir du processeur sécurisé AMD.

Étant donné qu'AMD SEV-SNP offre plus de fonctionnalités de sécurité, il est plus gourmand en ressources que SEV. En particulier, en fonction de la charge de travail, vous pouvez constater une bande passante réseau plus faible et une latence réseau plus élevée.

Lisez le livre blanc AMD SEV-SNP.

Intel TDX

Intel Trust Domain Extensions (TDX) est un TEE basé sur le matériel. TDX crée un domaine de confiance (TD) isolé dans une VM et utilise des extensions matérielles pour gérer et chiffrer la mémoire.

Intel TDX renforce la défense du TD contre des formes limitées d'attaques qui utilisent un accès physique à la mémoire de la plate-forme, telles que l'analyse hors connexion de la mémoire vive dynamique (DRAM) et les attaques actives des interfaces DRAM, y compris la capture, la modification, la relocalisation, l'épissage et l'aliasing du contenu de la mémoire.

Lisez le livre blanc Intel TDX.

Services Confidential VMs

En plus de Compute Engine, les services suivants utilisent Confidential VM : Google Cloud

Étape suivante

Découvrez les configurations compatibles avec Confidential VM.