Imagens do Confidential Space

Uma imagem do Confidential Space é um SO mínimo de finalidade única executado em uma instância de VM confidencial. Ele foi projetado para executar uma única carga de trabalho apenas uma vez, sem armazenamento permanente. Essa carga de trabalho é colocada sobre a imagem do Confidential Space usando o Docker.

As imagens do Confidential Space são criadas com base nas melhorias de segurança atuais do Container-Optimized OS e adicionam os seguintes benefícios:

• Partições de disco criptografadas com proteção de integridade

• Conexões de rede autenticadas e criptografadas

• Várias medidas de inicialização

• Acesso remoto desativado e ferramentas específicas da nuvem

tipos de imagens

As imagens do Confidential Space estão disponíveis em duas variantes:

• Production: a imagem de produção é usada para executar cargas de trabalho de produção reais com dados de produção reais. Ele é bloqueado para impedir que o operador da carga de trabalho acesse os dados processados. Para mais informações, consulte Visão geral da segurança do Confidential Space.

• Depuração: a imagem de depuração é usada para testar sua carga de trabalho em dados que não sejam de produção. O SSH está ativado na imagem de depuração, e o operador tem acesso raiz à VM que executa a carga de trabalho. A VM que executa a imagem de depuração não para depois que a carga de trabalho é concluída.

É possível definir qual tipo de imagem usar ao implantar a carga de trabalho.

Ciclo de vida de imagem do Confidential Space

Quando você cria uma VM confidencial usando uma imagem do Confidential Space, a versão mais recente da imagem é usada. Se você sempre excluir a VM confidencial ao final da carga de trabalho e criar uma nova sempre que executar a carga de trabalho, terá certeza de que a imagem está atualizada.

No entanto, cargas de trabalho de longa duração ou em execução em uma VM criada no passado representam um risco de usar uma imagem desatualizada do Confidential Space, o que pode apresentar vulnerabilidades de segurança.

Para evitar isso, um colaborador de dados pode usar atributos de suporte para verificar se uma versão de imagem de produção do Confidential Space em execução em uma VM é recente e negar o acesso aos dados se ela não passar.

Há três atributos de suporte:

• LATEST: essa é a versão mais recente da imagem, além de ser suportada e monitorada em busca de vulnerabilidades. A imagem LATEST também é STABLE e USABLE.

• STABLE: esta versão da imagem é suportada e monitorada em busca de vulnerabilidades. Uma imagem STABLE também é USABLE.

• USABLE: uma imagem com apenas esse atributo não é compatível. Use por sua conta e risco.

Versões de imagem

Para conferir as imagens mais recentes do Confidential Space, use o seguinte comando gcloud:

gcloud compute images list \
    --project=confidential-space-images \
    --no-standard-images

As flags a seguir podem mudar as imagens retornadas nos resultados:

• Adicione a flag --show-deprecated para mostrar imagens mais antigas.

• Adicione a flag --filter="family~'confidential-space$'" para mostrar as imagens de produção.

• Adicione a flag --filter="family~'confidential-space-debug$'" para mostrar imagens de depuração.

As tabelas a seguir detalham as versões de imagens do Confidential Space disponíveis e os atributos de suporte associados.

Imagens Production

A tabela a seguir contém as versões de produção da imagem do Confidential Space.

Imagens de depuração

A tabela a seguir contém as versões de depuração de imagens do Confidential Space.