Images Confidential Space

Une image Confidential Space est un OS minimal à usage unique qui s'exécute sur une instance Confidential VM. Il est conçu pour exécuter une seule charge de travail une seule fois, sans stockage persistant. Cette charge de travail est superposée à l'image Confidential Space à l'aide de Docker.

Les images Confidential Space s'appuient sur les améliorations de sécurité existantes de Container-Optimized OS et offrent les avantages supplémentaires suivants :

• Partitions de disque chiffrées avec protection de l'intégrité

• Connexions réseau chiffrées et authentifiées

• Diverses mesures de démarrage

• Accès à distance et outils spécifiques au cloud

Types d'images

Les images Confidential Space sont disponibles dans deux variantes :

• Production : l'image de production est utilisée pour exécuter de véritables charges de travail de production avec de véritables données de production. Il est verrouillé pour empêcher l'opérateur de charge de travail d'accéder aux données traitées. Pour en savoir plus, consultez la Présentation de la sécurité de Confidential Space.

• Débogage : l'image de débogage permet de tester votre charge de travail sur des données hors production. SSH est activé sur l'image de débogage, et l'opérateur dispose d'un accès racine à la VM qui exécute la charge de travail. La VM qui exécute l'image de débogage ne s'arrête pas une fois la charge de travail terminée.

Vous pouvez définir le type d'image à utiliser lorsque vous déployez la charge de travail.

Cycle de vie des images Confidential Space

Lorsque vous créez une Confidential VM à l'aide d'une image Confidential Space, la dernière version de l'image est utilisée. Si vous supprimez toujours votre Confidential VM lorsque la charge de travail est terminée et que vous en créez une nouvelle chaque fois que vous exécutez la charge de travail, vous pouvez être sûr que l'image est à jour.

Toutefois, en exécutant des charges de travail de longue durée sur une VM créée précédemment, vous risquez d'utiliser une image Confidential Space obsolète, ce qui peut entraîner des failles de sécurité.

Pour atténuer ce risque, un collaborateur de données peut utiliser des attributs de compatibilité pour vérifier si la version d'une image Confidential Space de production exécutée sur une VM est récente et lui refuser l'accès à ses données si ce n'est pas le cas.

Il existe trois attributs de compatibilité :

• LATEST : il s'agit de la dernière version de l'image. Elle est compatible et surveillée pour détecter les failles. L'image LATEST est également STABLE et USABLE.

• STABLE : cette version de l'image est compatible et surveillée pour détecter les failles. Une image STABLE est également USABLE.

• USABLE : Une image ne contenant que cet attribut n'est plus compatible. Vous utilisez cette version à vos propres risques.

Versions d'image

Vous pouvez afficher les dernières images Confidential Space avec la commande gcloud suivante :

gcloud compute images list \
    --project=confidential-space-images \
    --no-standard-images

Les indicateurs suivants peuvent modifier les images renvoyées dans les résultats :

• Ajoutez l'option --show-deprecated pour afficher les images plus anciennes.

• Ajoutez l'option --filter="family~'confidential-space$'" pour afficher les images de production.

• Ajoutez l'indicateur --filter="family~'confidential-space-debug$'" pour afficher les images de débogage.

Les tableaux suivants détaillent les versions d'image Confidential Space disponibles et leurs attributs de compatibilité.

Images de production

Le tableau suivant contient les versions de production des images Confidential Space.

Images de débogage

Le tableau suivant contient les versions de débogage des images Confidential Space.