Google将内存加密扩展到Kubernetes

  • 来源:网络
  • 更新日期:2020-09-10

摘要:Google Cloud和AMD于今年夏季推出了“机密计算”计划,该计划在内存和CPU以外的其他位置维护数据加密。该方案在AMD最新的EPYC处理器中利用了基于硬件的加密。 合作

Google Cloud和AMD于今年夏季推出了“机密计算”计划,该计划在内存和CPU以外的其他位置维护数据加密。该方案在AMD最新的EPYC处理器中利用了基于硬件的加密。

合作伙伴本周表示,他们正在扩展机密云计算计划,以涵盖通过Google的Kubernetes Engine在Kubernetes集群上运行的工作负载。这些GKE节点将在即将发布的Beta版本中提供。在周二(9月8日),Google还宣布了7月份发布的机密虚拟机的全面上市。

谷歌云还表示,它将把对机密计算的支持范围从AMD扩展到一系列数据中心处理器。在这两种情况下,价值主张都是在处理数据时“使用中”加密数据的能力。

与机密VM一样,机密Kubernetes节点也基于AMD最新的EPYC处理器,该处理器在其Zen 2 Core架构中集成了基于硬件的加密。根据Google(NASDAQ:GOOGL)的说法,运行受保护节点的群集会自动强制使用机密VM。机密节点在EPYC处理器的“安全加密虚拟化”功能内使用内存加密。

合作伙伴说,运行在Google Cloud中的机密VM可以增加到240个虚拟CPU和896 GB的内存。AMD(纳斯达克股票代码:AMD)还推广其最新的基于7纳米制程技术的EPYC处理器,作为将应用程序和数据迁移到云的平台。

基于硬件的安全性方法使用“信任根”方法,其中加密密钥用于保护功能。AMD表示,这些密钥是在芯片上管理的,这意味着只有用户才能查看它们。

该架构使用虚拟密钥对内存进行加密,然后安全处理器将密钥映射到内存中运行的VM。系统管理程序无法访问加密的内存,“来宾”操作系统选择可以共享的数据。

同时,谷歌云表示其机密节点将在其即将发布的Kubernetes引擎版本中以beta形式发布。

谷歌首席互联网传播者温顿·瑟夫(Vinton Cerf)说:“我们相信云计算的未来将越来越多地转向私有加密服务。”

Cerf补充说:“在处理数据时,没有简单的解决方案来对其进行加密。” 因此,促进了机密计算计划的发展,因为它在客户和数据中心之间“使用中”以及在静态和静态时加密数据。

现在,机密VM模型已应用于基于容器的工作负载,可对内存中以及CPU外部其他位置的数据进行加密。Cerf解释说:“内存控制器使用Google不能访问的嵌入式硬件密钥在CPU边界内解密数据。”

随着企业微服务开始兴起,隔离应用程序容器资源和依赖性是最初的挑战。谷歌和AMD押注增加了一层数据处理安全性,将推动云供应商的私有加密云服务战略。

内存加密将进一步隔离工作负载,同时还将租户与云基础架构隔离。“我们的目标是确保功能与我们使用的硬件无关,” Cerf说。因此,Google与其他CPU供应商合作,并将对机密计算的支持扩展到GPU,Tensor处理单元和FPGA。

Google Cloud是Linux基金会于2019年10月成立的机密计算联盟的创始成员之一。其他成员包括阿里巴巴,Arm,华为,英特尔,微软和IBM的Red Hat部门。

新网箭头云服务器