Revendications de jetons d'attestation

Restez organisé à l'aide des collections Enregistrez et classez les contenus selon vos préférences.

Un ou plusieurs composants TCB (Trusted Computing Base). Cette revendication permet de spécifier la source de la preuve d'attestation.

Pour hwmodel claim "GCP_INTEL_TDX" sur Confidential Space, la valeur est définie sur ["INTEL"], ce qui indique que la racine de confiance d'attestation provient d'une technologie matérielle spécifique à Intel.

L'audience. Pour le jeton par défaut utilisé avec un pool d'identités de charge de travail, l'audience est https://sts.googleapis.com. Ce jeton est extrait toutes les heures par le lanceur dans l'instance de VM Confidential.

Pour les jetons avec des audiences personnalisées, l'audience est renvoyée à partir de l'audience dans la requête de jeton. La longueur maximale est de 512 octets.

Identifiant unique du jeton matériel. Voici les valeurs valides:

• GCP_AMD_SEV
• GCP_AMD_SEV_ES
• GCP_SHIELDED_VM
• GCP_INTEL_TDX

Nom du système d'exploitation approuvé pour la VM.

Les valeurs sont : CONFIDENTIAL_SPACE ou GCE. La valeur CONFIDENTIAL_SPACE ne concerne que les images renforcées qui ont réussi toutes les validations.

Version du système d'exploitation. La valeur est un tableau de chaînes ne contenant qu'une seule valeur.

La version suit le format YYYYMM##, où ## est un compteur du nombre d'images publiées avant l'image utilisée au cours du même mois.

Valeur de chaîne représentant l'état au niveau du TCB de la plate-forme Google Cloud évaluée. Pour en savoir plus sur tcbStatus, consultez la documentation de l'API Provisioning Certification Service d'Intel.

Cette affirmation indique que la version du TCB TDX était à jour avec les valeurs de référence d'Intel lorsque Google a commencé le déploiement du micrologiciel. Toutefois, cela ne garantit pas que la flotte Google reste à jour avec les valeurs de référence de TCB en temps réel d'Intel.

Empreinte hexadécimale de la clé publique. Pour obtenir l'empreinte, vous pouvez exécuter la commande suivante:

openssl pkey -pubin -in public_key.pem -outform DER | openssl sha256

Où public_key.pem correspond à votre clé publique au format PEM.

Algorithme utilisé pour signer la clé. Choisissez l'une des options suivantes :

• RSASSA_PSS_SHA256 (RSASSA-PSS avec un condensé SHA-256)
• RSASSA_PKCS1V15_SHA256 (RSASSA-PKCS1 v1_5 avec un condensé SHA-256)
• ECDSA_P256_SHA256 (ECDSA sur la courbe P-256 avec un condensé SHA-256)

Revendication dérivée des attributs de compatibilité Il s'agit d'une représentation sous forme de chaîne concaténée des revendications d'origine.

Par exemple, si les revendications d'origine sont "Dernière", "Stable" et "Utilisable", cet attribut contiendra "LATEST=STABLE=USABLE". Si la revendication d'origine ne contient que "Utilisable", cet attribut contiendra "USABLE".

Les signatures et les condensés d'image de conteneur n'apparaissent pas ensemble dans un seul jeton. Par conséquent, si vous utilisez container.image_digest dans vos règles AWS, vous devez supprimer toutes les références à container.signatures.key_ids.

Liste concaténée des ID de clé de signature des images de conteneur. Ce champ représente plusieurs ID de clé de signature joints dans une seule chaîne dans le tableau.

Par exemple, si vous disposez des ID de clé aKey1, zKey2 et bKey3, cette revendication contient la valeur aKey1=bKey3=zKey2.

Les signatures et les condensés d'image de conteneur n'apparaissent pas ensemble dans un seul jeton. Par conséquent, si vous utilisez container.signatures.key_ids dans vos règles AWS, vous devez supprimer toutes les références à container.image_digest.

Pour en savoir plus sur les revendications de signature d'image de conteneur, consultez la section Règles AWS avec revendications de signature d'image de conteneur.