Confidential Space 映像

Confidential Space 映像是一个最小的单一用途操作系统，可在机密虚拟机实例上运行。它旨在仅运行一次单个工作负载，而无需永久性存储。该工作负载使用 Docker 分层在 Confidential Space 映像之上。

Confidential Space 映像基于 Container-Optimized OS 的现有安全增强功能构建，并增加了以下优势：

• 具有完整性保护的加密磁盘分区

• 经过身份验证的加密网络连接

• 各种启动测量

• 停用远程访问和特定于云的工具

映像类型

Confidential Space 映像有两种变体：

• 生产环境：生产映像用于运行实际生产工作负载，并使用实际生产数据。它处于锁定状态，以防止工作负载操作员访问处理后的数据。如需了解详情，请参阅 Confidential Space 安全概览。

• 调试：调试映像用于针对非生产数据测试工作负载。调试映像上已启用 SSH，并且操作员对运行工作负载的虚拟机具有根访问权限。工作负载完成后，运行调试映像的虚拟机不会停止。

您可以在部署工作负载时设置要使用的映像类型。

Confidential Space 映像生命周期

使用 Confidential Space 映像创建机密虚拟机时，系统会使用最新版本的映像。如果您始终在工作负载完成时删除机密虚拟机，并在每次运行工作负载时都新建一个虚拟机，则可以确保映像是最新的。

但是，长时间运行的工作负载或过去创建的虚拟机上运行的工作负载可能会使用过时的 Confidential Space 映像，这可能会引入安全漏洞。

为了缓解此问题，数据协作者可以使用支持属性来检查虚拟机上运行的生产 Confidential Space 映像版本是否为最新版本，如果不是，则拒绝其访问自己的数据。

有三种支持特性：

• LATEST：这是最新版本的映像，受支持，并且我们会监控其漏洞情况。LATEST 映像同时也是 STABLE 和 USABLE。

• STABLE：此版本的映像受支持，并且我们会监控其漏洞情况。STABLE 映像同时也是 USABLE。

• USABLE：仅包含此特性的映像已不再受支持。使用时需自行承担风险。

映像版本

您可以使用以下 gcloud 命令查看最新的 Confidential Space 映像：

gcloud compute images list \
    --project=confidential-space-images \
    --no-standard-images

以下标志可以更改结果中返回的图片：

• 添加 --show-deprecated 标志以显示旧版图片。

• 添加 --filter="family~'confidential-space$'" 标志以显示生产环境映像。

• 添加 --filter="family~'confidential-space-debug$'" 标志以显示调试图片。

下表详细介绍了可用的 Confidential Space 映像版本及其支持特性。

生产环境图片

下表包含 Confidential Space 映像生产版本。

调试映像

下表包含 Confidential Space 映像调试版本。