Questa pagina mostra come applicare la crittografia dei dati in uso. nei tuoi nodi e carichi di lavoro usando i nodi Confidential Google Kubernetes Engine Node.
Panoramica
Confidential GKE Node si basa su Compute Engine Confidential VM mediante AMD Secure Encryption Virtualization (SEV), che cripta la memoria delle VM in uso. La crittografia in uso è uno dei tre stati la crittografia end-to-end.
Quando abiliti Confidential GKE Node su un cluster o su un pool di nodi, i dati nei carichi di lavoro in esecuzione sui nodi riservati sono criptati in uso. Per visibilità sul piano di controllo, usa Access Transparency.
Puoi abilitare Confidential GKE Node quando esegui una delle seguenti operazioni:
- Crea un nuovo cluster
- Crea un nuovo pool di nodi
- Aggiorna un pool di nodi esistente
Non puoi aggiornare un cluster esistente per cambiare il livello di cluster Impostazione Confidential GKE Node.
La tabella seguente mostra il comportamento di GKE che si applica quando di abilitare Confidential GKE Node a livello di cluster o a livello di nodo livello del pool:
Impostazione Confidential GKE Node | Modalità di configurazione | Comportamento |
---|---|---|
A livello di cluster | Crea un nuovo cluster | Tutti i nodi nel cluster in qualsiasi pool di nodi utilizzano
Confidential GKE Node. Non puoi eseguire le
seguenti:
|
Livello del pool di nodi |
|
Puoi configurare Confidential GKE Node solo per i pool di nodi quando questa funzionalità viene disabilitata a livello di cluster. |
Prezzi
Non sono previsti costi aggiuntivi per il deployment di Confidential GKE Node, rispetto al costo di Confidential VM di Compute Engine. Tuttavia, i Confidential GKE Node potrebbero generare un numero leggermente maggiore di dati di log rispetto ai nodi standard all'avvio. Per informazioni sui prezzi dei log, consulta Prezzi per Google Cloud Observability.
Disponibilità
Confidential GKE Node è disponibile nelle seguenti situazioni:
Confidential GKE Node è disponibile solo in zone e regioni con istanze N2D o Istanze C2D disponibili.
I Confidential GKE Node possono essere utilizzati Container-Optimized OS e Container-Optimized OS con containerd (
cos_containerd
).
Prima di iniziare
Prima di iniziare, assicurati di aver eseguito le seguenti attività:
- Attiva l'API Google Kubernetes Engine. Abilita l'API Google Kubernetes Engine .
- Se vuoi utilizzare Google Cloud CLI per questa attività,
install e poi
initialize
con gcloud CLI. Se hai già installato gcloud CLI, scarica la versione più recente
eseguendo
gcloud components update
.
Abilita Confidential GKE Node sui cluster
Puoi creare un nuovo cluster con Confidential GKE Node abilitati utilizzando gcloud CLI o la console Google Cloud. Se attivi Confidential GKE Node a livello di cluster, tutti i nodi sono Confidential VM.
gcloud
Quando crei un nuovo cluster, specifica l'opzione --enable-confidential-nodes
in gcloud CLI:
gcloud container clusters create CLUSTER_NAME \
--machine-type=MACHINE_TYPE \
--enable-confidential-nodes
Sostituisci quanto segue:
- CLUSTER_NAME: il nome del nuovo cluster.
- MACHINE_TYPE: il tipo di macchina per il cluster pool di nodi predefinito, che deve essere del tipo di macchina N2D o il tipo di macchina C2D.
Console
Vai alla pagina Google Kubernetes Engine nella console Google Cloud.
Fai clic su add_box Crea.
Nella sezione Standard, fai clic su Configura.
Nel riquadro di navigazione, in Cluster, fai clic su Sicurezza.
Seleziona la casella di controllo Abilita Confidential GKE Node.
Configura il cluster in base alle tue esigenze.
Fai clic su Crea.
Consulta Creazione di un cluster a livello di regione per ulteriori dettagli sulla creazione dei cluster.
Dopo aver creato un cluster con Confidential GKE Node, tutti i pool di nodi creati in questo cluster possono usare solo nodi riservati. Non puoi creare pool di nodi normali in cluster in cui sono abilitati Confidential GKE Node. Tu Inoltre, non possono disabilitare Confidential GKE Node su singoli pool di nodi abilitando Confidential GKE Node a livello di cluster.
Abilita Confidential GKE Node sui pool di nodi
Puoi abilitare Confidential GKE Node su pool di nodi specifici se Confidential GKE Node è disabilitato a livello di cluster.
Crea un nuovo pool di nodi
Per creare un nuovo pool di nodi con Confidential GKE Node abilitati, esegui il seguente comando:
gcloud container node-pools create NODE_POOL_NAME \
--cluster=CLUSTER_NAME \
--machine-type=MACHINE_TYPE \
--enable-confidential-nodes
Sostituisci quanto segue:
- NODE_POOL_NAME: il nome del nuovo pool di nodi.
- CLUSTER_NAME: il nome del tuo cluster.
- MACHINE_TYPE: il tipo di macchina per il pool di nodi, che deve essere un tipo di macchina N2D o il tipo di macchina C2D.
Aggiorna un pool di nodi esistente
Puoi abilitare Confidential GKE Node su pool di nodi esistenti che utilizzano il tipo di macchina N2D o Tipo di macchina C2D. Esegui questo comando:
gcloud container node-pools update NODE_POOL_NAME \
--cluster=CLUSTER_NAME \
--enable-confidential-nodes
Sostituisci quanto segue:
- NODE_POOL_NAME: il nome del tuo pool di nodi.
- CLUSTER_NAME: il nome del tuo cluster.
Verifica che i nodi Confidential GKE Node siano abilitati
Nei cluster
Puoi verificare che il cluster utilizzi Confidential GKE Node con gcloud CLI o la console Google Cloud.
gcloud
Descrivi il cluster:
gcloud container clusters describe CLUSTER_NAME
Se Confidential GKE Node è abilitato, l'output del comando include le seguenti righe:
confidentialNodes:
enabled: true
Console
Vai alla pagina Google Kubernetes Engine nella console Google Cloud.
Fai clic sul nome del cluster da ispezionare.
In Sicurezza, nel campo Confidential GKE Node, verifica che Confidential GKE Node sia Enabled.
Nei pool di nodi
Per verificare che il pool di nodi utilizzi Confidential GKE Node, esegui il seguente comando:
gcloud container node-pools describe NODE_POOL_NAME \
--cluster=CLUSTER_NAME
Se Confidential GKE Node è abilitato, l'output è simile a le seguenti:
confidentialNodes:
enabled: true
Sui nodi
Per convalidare la riservatezza di nodi specifici, puoi:
Esegui applicazioni su Confidential GKE Node
L'approccio di Google al Confidential Computing consiste nel garantire un incremento semplice e per le applicazioni esistenti. I carichi di lavoro GKE che esegui possono essere eseguite su Confidential GKE Node senza modifiche al codice.
Facoltativamente, se vuoi esprimere in modo dichiarativo che i carichi di lavoro devono
eseguiti su cluster con Confidential GKE Node, puoi utilizzare
cloud.google.com/gke-confidential-nodes
selettore di nodi.
Di seguito è riportata una specifica di pod di esempio che utilizza questo selettore:
apiVersion: v1
kind: Pod
spec:
containers:
- name: my-confidential-app
image: us-docker.pkg.dev/myproject/myrepo/my-confidential-app
nodeSelector:
cloud.google.com/gke-confidential-nodes: "true"
Imposta vincoli dei criteri dell'organizzazione
Puoi definire un vincolo del criterio dell'organizzazione per garantire che tutte le risorse VM
create nella tua organizzazione sono istanze Confidential VM.
Per GKE, puoi personalizzare la casella di controllo Limita le
di computing che richiede la creazione di tutti i nuovi cluster
Confidential GKE Node abilitati. Aggiungi container.googleapis.com
Nome del servizio API nell'elenco di elementi bloccati durante l'applicazione di vincoli dei criteri dell'organizzazione.
Ad esempio:
gcloud resource-manager org-policies deny \
constraints/compute.restrictNonConfidentialComputing compute.googleapis.com container.googleapis.com \
--project=PROJECT_ID
Sostituisci PROJECT_ID con l'ID progetto.
Limitazioni
Confidential GKE Node presenta le seguenti limitazioni:
- Tutti i limitazioni delle istanze Confidential VM Compute Engine si applicano ai Confidential GKE Node.
- Confidential GKE Node con il tipo di macchina C2D può utilizzare solo il provisioning automatico dei nodi in GKE 1.24 o versioni successive.
- I nodi Confidential GKE Node supportano solo PersistentVolumes supportato da dischi permanenti se il tuo controllo e che esegue GKE 1.22 o versioni successive. Per istruzioni, consulta in Utilizzo del driver CSI per il disco permanente di Compute Engine .
- Confidential GKE Node non è compatibile con GPU.
- Confidential GKE Node non è compatibile con i nodi single-tenant.
- Confidential GKE Node supporta solo utilizzando l'archiviazione temporanea su SSD locali, ma non supporta l'uso degli SSD locali in generale.
- Sono supportati solo i nodi di Container-Optimized OS. Ubuntu e Windows nodi non sono supportati.
- I cluster Autopilot non supportano i nodi Confidential GKE Node.
Limitazioni della migrazione live
Alcuni tipi di macchine Confidential VM di Compute Engine supportare la migrazione live, riducendo al minimo le potenziali interruzioni del carico di lavoro dovute alla manutenzione di un host . La migrazione live avviene nelle seguenti versioni di GKE:
- 1.27.10-gke.1218000 e versioni successive
- 1.28.6-gke.1393000 e versioni successive
- 1.29.1-gke.1621000 e versioni successive
Se i pool di nodi eseguivano già una versione supportata durante la migrazione live è stato aggiunto, esegui manualmente l'upgrade dei pool di nodi alla stessa versione supportata o a una diversa. L'upgrade dei nodi attiva il nodo e la migrazione live è abilitata per i nuovi nodi.
Per maggiori dettagli su quali tipi di macchine Compute Engine supportano i live streaming per la migrazione, consulta Configurazioni supportate.
Se un evento di manutenzione dell'host
si verifica su un nodo che non supporta la migrazione live, il nodo entra
NotReady
. L'esecuzione dei pod subirà interruzioni fino a quando
quando si prepara di nuovo. Se la manutenzione richiede
più di cinque minuti,
GKE potrebbe provare a ricreare i pod su altri nodi.
Disabilita i nodi Confidential GKE Node
La disabilitazione di Confidential GKE Node funziona solo per i pool di nodi con Confidential GKE Node abilitati. Se il cluster viene creato Confidential GKE Node, non puoi disabilitare la funzionalità. Esegui l' questo comando per disabilitare Confidential GKE Node su un pool di nodi:
gcloud container node-pools update NODE_POOL_NAME \
--cluster=CLUSTER_NAME \
--no-enable-confidential-nodes
Passaggi successivi
- Scopri di più su Confidential VM.
- Scopri di più sulle immagini dei nodi.
- Scopri di più sulla crittografia at-rest di Google Cloud.
- Scopri di più sulla crittografia dei dati in transito di Google Cloud.
- Scopri di più sulle chiavi di crittografia gestite dal cliente (CMEK).
- Scopri di più sulla crittografia dei secret a livello di applicazione.