Imágenes del espacio confidencial

Una imagen de Confidential Space es un SO mínimo y de un solo uso que se ejecuta en una instancia de VM confidencial. Está diseñado para ejecutar una sola carga de trabajo una sola vez, sin almacenamiento persistente. Esta carga de trabajo se superpone a la imagen de Confidential Space mediante Docker.

Las imágenes de Confidential Space se basan en las mejoras de seguridad de Container-Optimized OS y ofrecen las siguientes ventajas:

• Particiones de disco cifradas con protección de integridad

• Conexiones de red cifradas y autenticadas

• Varias mediciones de arranque

• Acceso remoto y herramientas específicas de la nube inhabilitados

Tipos de imágenes

Las imágenes de Espacio Confidencial están disponibles en dos variantes:

• Producción: la imagen de producción se usa para ejecutar cargas de trabajo de producción reales con datos de producción reales. Se bloquea para evitar que el operador de la carga de trabajo acceda a los datos procesados. Para obtener más información, consulta el artículo Descripción general de la seguridad de Confidential Space.

• Depuración: la imagen de depuración se usa para probar tu carga de trabajo con datos que no sean de producción. SSH está habilitado en la imagen de depuración y el operador tiene acceso raíz a la VM que ejecuta la carga de trabajo. La VM que ejecuta la imagen de depuración no se detiene cuando se completa la carga de trabajo.

Puedes definir el tipo de imagen que quieres usar cuando despliegues la carga de trabajo.

Ciclo de vida de las imágenes de Confidential Space

Cuando creas una VM confidencial con una imagen de espacio confidencial, se usa la versión más reciente de la imagen. Si siempre eliminas tu VM confidencial cuando finaliza tu carga de trabajo y creas una nueva cada vez que ejecutas la carga de trabajo, puedes estar seguro de que la imagen está actualizada.

Sin embargo, si ejecutas cargas de trabajo de larga duración o cargas de trabajo en una VM creada en el pasado, corres el riesgo de usar una imagen de Confidential Space obsoleta, lo que podría introducir vulnerabilidades de seguridad.

Para mitigar este problema, un colaborador de datos puede usar atributos de asistencia para comprobar si una versión de imagen de Confidential Space de producción que se ejecuta en una máquina virtual es reciente y denegarle el acceso a sus datos si no cumple los requisitos.

Hay tres atributos de asistencia:

• LATEST: esta es la versión más reciente de la imagen, que se admite y se monitoriza para detectar vulnerabilidades. La imagen LATEST también es STABLE y USABLE.

• STABLE: esta versión de la imagen es compatible y se monitoriza para detectar vulnerabilidades. Una imagen de STABLE también es USABLE.

• USABLE: las imágenes que solo tengan este atributo no se admiten. Úsala bajo tu propia responsabilidad.

Versiones de imagen

Puedes ver las últimas imágenes de Confidential Space con el siguiente comando gcloud:

gcloud compute images list \
    --project=confidential-space-images \
    --no-standard-images

Las siguientes marcas pueden cambiar las imágenes devueltas en los resultados:

• Añade la marca --show-deprecated para mostrar imágenes más antiguas.

• Añade la marca --filter="family~'confidential-space$'" para mostrar las imágenes de producción.

• Añade la marca --filter="family~'confidential-space-debug$'" para mostrar imágenes de depuración.

En las siguientes tablas se detallan las versiones de imagen de Espacio Confidencial disponibles y sus atributos de asistencia.

Imágenes de producción

En la siguiente tabla se incluyen las versiones de producción de imágenes de Confidential Space.

Imágenes de depuración

La siguiente tabla contiene versiones de depuración de imágenes de Confidential Space.