Calcul confidentiel
Le traitement confidentiel crypte et isole les données utilisées (données traitées activement en mémoire) et les applications qui traitent ces données. Les instances confidentielles sont des machines virtuelles de calcul ou des instances Bare Metal dans lesquelles les données et l'exécution d'applications sont protégées pendant l'exécution de la charge globale. Elles empêchent ainsi tout accès ou modification non autorisé aux données en mémoire.
Sur OCI, les machines virtuelles confidentielles utilisent la virtualisation chiffrée sécurisée AMD (SEV-family). Les clés de cryptage sont générées lors de la création de la machine virtuelle et conservées dans le processeur sécurisé AMD. Ces clés ne sont pas accessibles aux applications, à l'invité, à l'hyperviseur ou à OCI.
Concepts de base
Lorsque vous utilisez des instances Compute confidentielles, tenez compte des concepts de base suivants.
Environnement d'exécution sécurisé (TEE)
Un environnement d'exécution sécurisé (TEE) est une limite d'exécution isolée qui aide à protéger le code et les données pendant leur traitement. Dans le calcul confidentiel OCI, les transactions TEE sont réalisées à l'aide de mécanismes de cryptage et d'isolation de mémoire sauvegardés par le matériel.
Machines virtuelles confidentielles vs Bare Metal confidentiel (clarification)
Les machines virtuelles confidentielles fournissent un cryptage et une isolation de niveau machine virtuelle pour chaque machine virtuelle, tandis que Confidential Bare Metal fournit le cryptage de la mémoire de l'hôte comme base. La confidentialité Bare Metal à elle seule ne fournit pas automatiquement de TEE de niveau machine virtuelle ou de flux d'attestation à distance orienté locataire pour les machines virtuelles invitées.
Calcul confidentiel de niveau machine virtuelle (VM confidentielles)
Le calcul confidentiel de portée machine virtuelle fournit une isolation par machine virtuelle et un chiffrement de la mémoire à l'aide de la technologie AMD SEV.
Les formes AMD plus récentes prennent en charge SEV-SNP, ce qui renforce la protection de l'intégrité de la mémoire et permet une attestation matérielle.
Informatique confidentielle Bare Metal (Bare Metal confidentiel)
Lorsqu'un client active le calcul confidentiel sur Bare Metal, OCI utilise le cryptage transparent de la mémoire (TSME) AMD pour crypter la mémoire de l'hôte.
Une fois la plate-forme initialisée en mode confidentiel (BIOS/microprogramme prenant en charge la confidentialité), les clients peuvent créer un TEE de niveau machine virtuelle en plus de Bare Metal pouvant prendre en charge la confidentialité à l'aide des fonctionnalités de microprogramme prises en charge :
- E3/E4 : SEV de portée VM (pas de SEV-SNP)
- E5/E6 : SEV-SNP de portée VM (la prise en charge du BIOS/microprogramme pour l'activation du SEV-SNP est applicable aux formes Bare Metal E5 et E6)
Utilisation de votre propre service d'attestation (BYAS)
L'attestation fournit une preuve cryptographique qu'une charge globale s'exécute dans l'environnement confidentiel attendu avant de publier des clés secrètes (par exemple, des clés, des jetons ou des ensembles de données).
OCI prend en charge le service Bring Your Own Attestation Service (BYAS) pour les formes SEV-SNP E5/E6, où les clients déploient et exploitent leur propre service d'attestation à l'aide des conseils OCI. BYAS atteste l'environnement de machine virtuelle confidentiel (état TEE de portée machine virtuelle), et pas seulement l'hôte Bare Metal, et est généralement utilisé pour gérer la libération de clé secrète en fonction des résultats de vérification. BYAS n'est pas pris en charge pour les formes E3/E4 héritées. Reportez-vous à Attestation à distance pour le calcul confidentiel.
Matrice de support (formes, SEV/SEV-SNP, système d'exploitation, régions)
Le tableau suivant fournit des détails sur les formes prises en charge et les technologies associées.
La "technologie de machine virtuelle" indique la capacité confidentielle de la machine virtuelle (SEV ou SEV-SNP).
| FORME(S) | DÉPLOIEMENT | TECHNOLOGIE VM | BYAS | O/S PRIS EN CHARGE | RÉGIONS |
|---|---|---|---|---|---|
| VM.Standard.E3. Flex, VM.Standard.E4. Champ flexible | Machine virtuelle | SEV (pas de SNP) | Non | Linux 7 et Ubuntu 20 et plus | Est de l'Australie (Sydney), Sud-est du Canada (Toronto), Allemagne centrale (Francfort), Sud de l'Inde (Hyderabad), Ouest de l'Inde (Mumbai), Sud du Royaume-Uni (Londres), Ouest du Royaume-Uni (Newport), Est des États-Unis (Ashburn), Ouest des États-Unis (Phoenix) |
| BM.Standard.E3.128, BM.Standard.E4.128, BM.DenseIO.E4.128 | Bare Metal | Prend en charge le SEV conçu par le client | Non | Linux 7 et Ubuntu 20 et plus | Toutes les régions publiques OC1 |
| VM.Standard.E5.Flex | Machine virtuelle | SEPT. | Oui | Oracle Linux 9 (UEK8), Oracle Linux 10 (UEK8), Ubuntu 24.04 | Toutes les régions publiques OC1 sauf ZRH/SIN/ORD |
| VM.Standard.E6.Flex | Machine virtuelle | SEPT. | Oui | Oracle Linux 9 (UEK8), Oracle Linux 10 (UEK8), Ubuntu 24.04 | Toutes les régions publiques OC1 |
| BM.Standard.E5.192, BM.DenseIO.E5.128, BM.Standard.E6.256 | Bare Metal | Prend en charge le SEV-SNP de portée VM construit par le client | Oui | Oracle Linux 9 (UEK8), Oracle Linux 10 (UEK8), Ubuntu 24.04 | Toutes les régions publiques OC1 |
Pour activer le calcul confidentiel sur les formes de machine virtuelle avec Oracle Linux, reportez-vous à Calcul confidentiel pour Oracle Linux.
Tarification et disponibilité
- L'activation de l'informatique confidentielle n'entraîne aucun coût supplémentaire.
- La disponibilité varie en fonction de la forme (voir tableau).
Performances
Confidential Computing est conçu pour fournir des protections solides en cours d'utilisation avec un impact minimal sur les performances pour de nombreuses charges de travail. Pour plus de détails, reportez-vous à Impact sur les performances de l'activation du calcul confidentiel sur les machines virtuelles Oracle Cloud Infrastructure.
Prise en charge et limitations
Vous trouverez ci-dessous une liste des détails de support et des limitations pour le calcul confidentiel.
- Le calcul confidentiel doit être activé au lancement et ne peut pas être activé/désactivé après la création de l'instance.
- Les machines virtuelles E5 et E6 de calcul confidentiel peuvent être lancées sur des hôtes de machine virtuelle dédiés.
- Une fois que vous avez activé le calcul confidentiel sur une instance, vous pouvez modifier uniquement le nom de cette dernière. Une fois l'instance, vous ne pouvez pas la modifier.
- Les instances protégées et le calcul confidentiel s'excluent mutuellement (vous ne pouvez pas activer les deux).
- Aucune des fonctionnalités suivantes n'est disponible avec le calcul confidentiel :
- Capacité préemptive
- Réservations de capacité
- Instances protégées
Activation du calcul confidentiel
Pour activer le calcul confidentiel pour une instance, procédez comme suit :
- Sélectionnez une forme de machine virtuelle ou Bare Metal prise en charge dans OCI qui peut être activée pour le calcul confidentiel.
- Au cours du workflow de création d'instance, assurez-vous que l'option Activer le calcul confidentiel est sélectionnée dans la configuration de forme.
- Terminez toutes les autres configurations d'instance si nécessaire, y compris les paramètres de réseau, d'image de plate-forme et de volume d'initialisation. Démarrez ensuite l'instance. Pour plus d'informations, reportez-vous à Création d'une instance.