Imágenes de Confidential Space

Una imagen de Confidential Space es un SO mínimo y de un solo propósito que se ejecuta en una instancia de Confidential VM. Está diseñado para ejecutar una sola carga de trabajo una sola vez, sin almacenamiento persistente. Esa carga de trabajo se superpone a la imagen de Confidential Space con Docker.

Las imágenes de Confidential Space se basan en las mejoras de seguridad existentes de Container-Optimized OS y agregan los siguientes beneficios:

• Particiones de disco encriptadas con protección de integridad

• Conexiones de red encriptadas y autenticadas

• Varias mediciones de inicio

• Acceso remoto inhabilitado y herramientas específicas de la nube

Tipos de imágenes

Las imágenes de Confidential Space están disponibles en dos variantes:

• Producción: La imagen de producción se usa para ejecutar cargas de trabajo de producción reales con datos de producción reales. Está bloqueado para evitar que el operador de la carga de trabajo acceda a los datos procesados. Para obtener más información, consulta la descripción general de seguridad de Confidential Space.

• Depuración: La imagen de depuración se usa para probar tu carga de trabajo con datos que no son de producción. SSH está habilitado en la imagen de depuración, y el operador tiene acceso raíz a la VM que ejecuta la carga de trabajo. La VM que ejecuta la imagen de depuración no se detiene después de que se completa la carga de trabajo.

Puedes configurar qué tipo de imagen usar cuando implementes la carga de trabajo.

Ciclo de vida de la imagen de Confidential Space

Cuando creas una Confidential VM con una imagen de Confidential Space, se usa la versión más reciente de la imagen. Si siempre borras tu Confidential VM cuando finaliza tu carga de trabajo y creas una nueva cada vez que ejecutas la carga de trabajo, puedes estar seguro de que la imagen está actualizada.

Sin embargo, las cargas de trabajo de larga duración o la ejecución de una carga de trabajo en una VM creada antes presentan el riesgo de usar una imagen de Confidential Space desactualizada, lo que puede generar vulnerabilidades de seguridad.

Para mitigar este problema, un colaborador de datos puede usar atributos de asistencia para verificar si una versión de imagen de Confidential Space de producción que se ejecuta en una VM es reciente y denegarle el acceso a sus datos si no pasa la verificación.

Existen tres atributos de asistencia:

• LATEST: Esta es la versión más reciente de la imagen, y se admite y supervisa para detectar vulnerabilidades. La imagen LATEST también es STABLE y USABLE.

• STABLE: Esta versión de la imagen es compatible y se supervisa para las vulnerabilidades. Una imagen STABLE también es USABLE.

• USABLE: Una imagen con solo este atributo está fuera de asistencia. Úsalo bajo tu propia responsabilidad.

Versiones con imágenes

Puedes ver las imágenes más recientes de Confidential Space con el siguiente comando gcloud:

gcloud compute images list \
    --project=confidential-space-images \
    --no-standard-images

Los siguientes parámetros pueden cambiar las imágenes que se muestran en los resultados:

• Agrega la marca --show-deprecated para mostrar imágenes anteriores.

• Agrega la marca --filter="family~'confidential-space$'" para mostrar las imágenes de producción.

• Se agregó la marca --filter="family~'confidential-space-debug$'" para mostrar imágenes de depuración.

En las siguientes tablas, se detallan las versiones de imágenes de Confidential Space disponibles y sus atributos de asistencia.

Imágenes de producción

En la siguiente tabla, se incluyen las versiones de producción de la imagen de Confidential Space.

Cómo depurar imágenes

En la siguiente tabla, se incluyen las versiones de depuración de imágenes de Confidential Space.