Confidential Space-Images

Ein Confidential Space-Image ist ein minimales Betriebssystem für einen einzigen Zweck, das auf einer Confidential VM-Instanz ausgeführt wird. Sie ist für die einmalige Ausführung einer einzelnen Arbeitslast ohne persistenten Speicher konzipiert. Diese Arbeitslast wird mit Docker auf das Confidential Space-Image gelegt.

Confidential Space-Images basieren auf den vorhandenen Sicherheitsverbesserungen von Container-Optimized OS und bieten die folgenden Vorteile:

• Verschlüsselte Laufwerkpartitionen mit Integritätsschutz

• Authentifizierte, verschlüsselte Netzwerkverbindungen

• Verschiedene Boot-Messungen

• Deaktivierter Remotezugriff und cloudspezifische Tools

Bildarten

Confidential Space-Images sind in zwei Varianten verfügbar:

• Produktion: Das Produktions-Image wird zum Ausführen von echten Produktionsarbeitslasten mit echten Produktionsdaten verwendet. Sie ist gesperrt, um zu verhindern, dass der Arbeitslastbetreiber auf die verarbeiteten Daten zugreifen kann. Weitere Informationen finden Sie unter Confidential Space – Sicherheit.

• Debug: Das Debug-Image wird zum Testen Ihrer Arbeitslast mit Nicht-Produktionsdaten verwendet. SSH ist im Debug-Image aktiviert und der Operator hat Root-Zugriff auf die VM, auf der die Arbeitslast ausgeführt wird. Die VM, auf der das Debugging-Image ausgeführt wird, wird nach Abschluss der Arbeitslast nicht beendet.

Sie können festlegen, welcher Bildtyp verwendet werden soll, wenn Sie die Arbeitslast bereitstellen.

Lebenszyklus von Confidential Space-Images

Wenn Sie eine Confidential VM mit einem Confidential Space-Image erstellen, wird die neueste Version des Images verwendet. Wenn Sie Ihre Confidential VM immer löschen, wenn die Arbeitslast fertig ist, und eine neue erstellen, wenn Sie die Arbeitslast ausführen, können Sie sicher sein, dass das Image auf dem neuesten Stand ist.

Bei zeitaufwendigen Arbeitslasten oder wenn Sie eine Arbeitslast auf einer VM ausführen, die in der Vergangenheit erstellt wurde, besteht jedoch das Risiko, dass Sie ein veraltetes Confidential Space-Image verwenden, was zu Sicherheitslücken führen kann.

Um dies zu verhindern, kann ein Datenbearbeiter Unterstützungsattribute verwenden, um zu prüfen, ob eine Produktionsversion des Confidential Space-Images, die auf einer VM ausgeführt wird, aktuell ist. Wenn dies nicht der Fall ist, kann er den Zugriff auf seine Daten verweigern.

Es gibt drei Supportattribute:

• LATEST: Dies ist die aktuelle Version des Images. Sie wird unterstützt und auf Sicherheitslücken überwacht. Das Bild LATEST ist auch STABLE und USABLE.

• STABLE: Diese Version des Images wird unterstützt und auf Sicherheitslücken überwacht. Ein STABLE-Bild ist auch USABLE.

• USABLE: Ein Bild mit nur diesem Attribut wird nicht unterstützt. Die Nutzung erfolgt auf eigenes Risiko.

Image-Versionen

Mit dem folgenden Befehl gcloud können Sie die neuesten Confidential Space-Images aufrufen:

gcloud compute images list \
    --project=confidential-space-images \
    --no-standard-images

Mit den folgenden Flags können die zurückgegebenen Bilder in den Ergebnissen geändert werden:

• Fügen Sie das Flag --show-deprecated hinzu, um ältere Bilder anzuzeigen.

• Fügen Sie das Flag --filter="family~'confidential-space$'" hinzu, um Produktionsbilder aufzurufen.

• Fügen Sie das Flag --filter="family~'confidential-space-debug$'" hinzu, um Debug-Bilder anzuzeigen.

In den folgenden Tabellen sind die verfügbaren Confidential Space-Image-Versionen und ihre Support-Attribute aufgeführt.

Produktionsbilder

Die folgende Tabelle enthält Produktionsversionen von Confidential Space-Images.

Bilder debuggen

Die folgende Tabelle enthält Debug-Versionen von Confidential Space-Images.