Immagini di Confidential Space

Un'immagine Confidential Space è un sistema operativo minimale e monoscopo eseguito su un'istanza Confidential VM. È progettato per eseguire un singolo carico di lavoro una sola volta, senza archiviazione permanente. Questo workload viene sovrapposto all'immagine Confidential Space utilizzando Docker.

Le immagini di Confidential Space si basano sui miglioramenti della sicurezza esistenti di Container-Optimized OS e aggiungono i seguenti vantaggi:

• Partizioni del disco criptate con protezione dell'integrità

• Connessioni di rete criptate e autenticate

• Varie misurazioni del bagagliaio

• Accesso remoto e strumenti specifici per il cloud disattivati

Tipi di immagini

Le immagini di Confidential Space sono disponibili in due varianti:

• Produzione: l'immagine di produzione viene utilizzata per eseguire carichi di lavoro di produzione reali con dati di produzione reali. È bloccato per impedire all'operatore del workload di accedere ai dati elaborati. Per saperne di più, consulta la Panoramica della sicurezza di Confidential Space.

• Debug: l'immagine di debug viene utilizzata per testare il carico di lavoro su dati non di produzione. SSH è abilitato sull'immagine di debug e l'operatore ha accesso root alla VM che esegue il workload. La VM che esegue l'immagine di debug non si arresta al termine del workload.

Puoi impostare il tipo di immagine da utilizzare quando esegui il deployment del workload.

Ciclo di vita delle immagini di Confidential Space

Quando crei una Confidential VM utilizzando un'immagine Confidential Space, viene utilizzata l'ultima versione dell'immagine. Se elimini sempre la tua Confidential VM al termine del workload e ne crei una nuova ogni volta che esegui il workload, puoi essere certo che l'immagine sia aggiornata.

Tuttavia, i workload a lunga esecuzione o l'esecuzione di un workload su una VM creata in passato ti espone al rischio di utilizzare un'immagine Confidential Space obsoleta, che potrebbe introdurre vulnerabilità della sicurezza.

Per risolvere questo problema, un collaboratore dei dati può utilizzare gli attributi di supporto per verificare se una versione dell'immagine di Confidential Space di produzione in esecuzione su una VM è recente e negare l'accesso ai dati se non supera il controllo.

Esistono tre attributi di assistenza:

• LATEST: questa è l'ultima versione dell'immagine, supportata e monitorata per rilevare vulnerabilità. L'immagine LATEST è anche STABLE e USABLE.

• STABLE: Questa versione dell'immagine è supportata e monitorata per le vulnerabilità. Un'immagine STABLE è anche USABLE.

• USABLE: un'immagine con solo questo attributo non è più supportata. Utilizzala a tuo rischio.

Versioni immagine

Puoi visualizzare le immagini di Confidential Space più recenti con il seguente comando gcloud:

gcloud compute images list \
    --project=confidential-space-images \
    --no-standard-images

I seguenti flag possono modificare le immagini restituite nei risultati:

• Aggiungi il flag --show-deprecated per mostrare le immagini meno recenti.

• Aggiungi il flag --filter="family~'confidential-space$'" per mostrare le immagini di produzione.

• Aggiungi il flag --filter="family~'confidential-space-debug$'" per mostrare le immagini di debug.

Le tabelle seguenti mostrano in dettaglio le versioni delle immagini di Confidential Space disponibili e i relativi attributi di supporto.

Immagini di produzione

La tabella seguente contiene le versioni di produzione delle immagini di Confidential Space.

Immagini di debug

La tabella seguente contiene le versioni di debug delle immagini di Confidential Space.