Google Cloud Attestation
Tetap teratur dengan koleksi
Simpan dan kategorikan konten berdasarkan preferensi Anda.
Pengesahan adalah proses yang membangun kepercayaan pada
Confidential Computing.
Pengesahan berfungsi sebagai mekanisme verifikasi digital, yang memastikan bahwa data rahasia hanya diproses dalam Trusted Execution Environment (TEE) berbasis hardware yang telah diperiksa secara ketat.
Pengesahan Google Cloud menyediakan solusi terpadu untuk memverifikasi dari jarak jauh keandalan semua lingkungan rahasia Google. Layanan ini mendukung pengesahan lingkungan rahasia yang didukung oleh Virtual Trusted Platform Module (vTPM) untuk SEV dan TDX Module untuk Intel TDX.
Pengesahan Google Cloud dapat diterapkan di seluruh layanan berikut: Google Cloud
Meskipun Google Cloud Pengesahan praktis, alat open source juga dapat memperoleh laporan pengesahan secara langsung untuk instance Confidential VM.
Untuk mengetahui detail selengkapnya, lihat Meminta laporan pengesahan.
Cara kerja Pengesahan Google Cloud
Pengesahan Google Cloud secara internal mengumpulkan dukungan langsung dari vendor hardware dan menegakkan serangkaian nilai referensi dan kebijakan penilaiannya sendiri yang secara khusus disesuaikan untuk setiap lingkungan rahasia. API ini menyediakan
API bagi Google Cloud pengguna untuk mengambil token klaim hasil pengesahan.
Pengesahan Google Cloud mengumpulkan informasi dari lingkungan rahasia Anda dan memeriksanya berdasarkan nilai yang disetujui dan kebijakan yang dikelola Google. Pemeriksaan ini dikonversi menjadi klaim yang dapat diverifikasi yang mematuhi standar
IETF Remote ATtestation ProcedureS (RATS) Entity Attestation Token (EAT). Kemudian, Pengesahan Google Cloud memberikan bukti kriptografis atas klaim ini yang dapat digunakan oleh layanan yang mengandalkan klaim tersebut, seperti Secret Manager dan Identity and Access Management (IAM) Google.
Bukti kriptografi dapat divalidasi dengan cara berikut:
Menggunakan kunci publik. Untuk mengetahui informasi selengkapnya, lihat
Token OIDC.
Opsi ini lebih sederhana dan berfungsi secara native dengan aplikasi yang kompatibel dengan OIDC.
Menggunakan root certificate. Untuk mengetahui informasi selengkapnya, lihat
Token PKI.
Opsi ini memungkinkan verifikasi offline, tanpa perlu setiap pihak tepercaya menemukan kunci verifikasi. Untuk contoh end-to-end validasi offline, lihat codelab Menggunakan Confidential Space dengan resource terlindungi yang tidak disimpan dengan penyedia cloud.
Ringkasan arsitektur RATS
Arsitektur Remote ATtestation ProcedureS (RATS) melibatkan entitas utama berikut:
Pengesah: Entitas yang memberikan bukti kredibilitasnya. Di
Google Cloud, ini adalah lingkungan rahasia (misalnya, Confidential VM,
Confidential GKE Node, atau Confidential Space).
Verifier: Entitas yang mengevaluasi bukti dan membuat hasil pengesahan. Ini adalah Google Cloud Attestation.
Pihak tepercaya: Entitas yang mengandalkan hasil pengesahan untuk membuat keputusan
(misalnya, aplikasi seluler, bucket penyimpanan, atau sistem pengelolaan kunci).
Arsitektur RATS mencakup peran utama berikut:
Pemilik pihak tepercaya: Entitas yang mengonfigurasi kebijakan penilaian untuk pihak tepercaya.
Pemilik verifikasi: Entitas yang mengonfigurasi kebijakan penilaian untuk verifier
(misalnya, Google).
Pendukung: Entitas yang memberikan dukungan yang memvalidasi kemampuan pengesah (misalnya, OEM hardware seperti AMD, Intel, atau Nvidia).
Penyedia nilai referensi: Entitas yang menyediakan nilai referensi bagi
verifier untuk memvalidasi klaim pengesah.
Alur kerja pengesahan model paspor
Pengesahan Google Cloud menggunakan model paspor. Alur kerja tingkat tinggi model paspor melibatkan langkah-langkah berikut:
Pengesah (lingkungan rahasia) meminta hasil pengesahan dari verifier (Pengesahan Google Cloud) dengan memberikan bukti.
Verifier mengevaluasi bukti dan mengeluarkan hasil pengesahan.
Pengesah menyajikan hasil ini kepada pihak tepercaya.
Dalam alur kerja ini, Pengesahan Google Cloud bertindak sebagai verifier. Lingkungan rahasia seperti (Confidential VM, Confidential GKE Node, atau Confidential Space) bertindak sebagai pengesah. Pihak tepercaya mencakup Thales EKM, Google IAM, dan broker token lainnya.
Untuk memastikan keaktualan hasil pengesahan, Pengesahan Google Cloud menggunakan angka kriptografi yang tidak dapat digunakan kembali. Pengesah dapat memberikan
angka acak, yang disepakati dengan pihak yang mengandalkan, kepada petugas verifikasi.
Pihak tepercaya kemudian dapat memvalidasi nomor ini untuk memastikan keaktualan dan keakuratannya.
Kecuali dinyatakan lain, konten di halaman ini dilisensikan berdasarkan Lisensi Creative Commons Attribution 4.0, sedangkan contoh kode dilisensikan berdasarkan Lisensi Apache 2.0. Untuk mengetahui informasi selengkapnya, lihat Kebijakan Situs Google Developers. Java adalah merek dagang terdaftar dari Oracle dan/atau afiliasinya.
Terakhir diperbarui pada 2025-08-18 UTC.
[[["Mudah dipahami","easyToUnderstand","thumb-up"],["Memecahkan masalah saya","solvedMyProblem","thumb-up"],["Lainnya","otherUp","thumb-up"]],[["Sulit dipahami","hardToUnderstand","thumb-down"],["Informasi atau kode contoh salah","incorrectInformationOrSampleCode","thumb-down"],["Informasi/contoh yang saya butuhkan tidak ada","missingTheInformationSamplesINeed","thumb-down"],["Masalah terjemahan","translationIssue","thumb-down"],["Lainnya","otherDown","thumb-down"]],["Terakhir diperbarui pada 2025-08-18 UTC."],[[["\u003cp\u003eAttestation is a digital verification process that establishes trust by ensuring confidential data is processed only within vetted, hardware-based Trusted Execution Environments (TEEs).\u003c/p\u003e\n"],["\u003cp\u003eGoogle Cloud Attestation provides a unified solution for remotely verifying the trustworthiness of Google confidential environments, supporting technologies like AMD SEV, SEV-SNP, and Intel TDX across services such as Confidential VM, Confidential Space, and Confidential GKE Nodes.\u003c/p\u003e\n"],["\u003cp\u003eGoogle Cloud Attestation collects data from confidential environments, compares it against approved values and policies, and generates verifiable claims that conform to the IETF RATS EAT standard.\u003c/p\u003e\n"],["\u003cp\u003eThe Remote ATtestation ProcedureS (RATS) architecture involves an Attester (confidential environment), a Verifier (Google Cloud Attestation), and a Relying Party (e.g., mobile app, key management system).\u003c/p\u003e\n"],["\u003cp\u003eGoogle Cloud Attestation follows a passport model, where the attester requests an attestation result from the verifier, which is then presented to the relying party, ensuring data security and trust.\u003c/p\u003e\n"]]],[],null,["# Google Cloud Attestation\n\nAttestation is the process that establishes trust in\n[Confidential Computing](/confidential-computing/docs/confidential-computing-overview).\nAttestation acts as a digital verification mechanism, ensuring that confidential\ndata is only processed within hardware-based Trusted Execution Environments\n(TEEs) that have been rigorously vetted.\n\nGoogle Cloud Attestation provides a unified solution for remotely verifying the\ntrustworthiness of all Google confidential environments. The service supports\nattestation of confidential environments backed by a Virtual Trusted Platform\nModule (vTPM) for SEV and the TDX Module for Intel TDX.\n\nGoogle Cloud Attestation can be applied across the following Google Cloud\nservices:\n\nWhile Google Cloud Attestation is convenient, open-source tools can also\nobtain attestation reports directly for Confidential VM instances.\nFor more details, see [Request an attestation report](/confidential-computing/confidential-vm/docs/attestation#request_an_attestation_report).\n\nHow Google Cloud Attestation works\n----------------------------------\n\nGoogle Cloud Attestation internally gathers endorsements directly from\nhardware vendors and upholds its own set of reference values and appraisal\npolicies specifically tailored for each confidential environment. It provides\nAPIs for Google Cloud users to fetch attestation result claims tokens.\n\nGoogle Cloud Attestation collects information from your confidential\nenvironment and checks it against approved values and Google-maintained\npolicies. These checks are converted into verifiable claims that adhere to the\n[IETF Remote ATtestation ProcedureS (RATS) Entity Attestation Token (EAT)](https://datatracker.ietf.org/doc/draft-ietf-rats-eat/)\nstandard. Then, Google Cloud Attestation provides cryptographic proofs of\nthese claims that can be used by services relying on such claims, such as\nSecret Manager and Google\n[Identity and Access Management (IAM)](/security/products/iam).\n\nThe cryptographic proofs can be validated in the following ways:\n\n1. Using a public key. For more information, see\n [OIDC tokens](/confidential-computing/confidential-space/docs/reference/token-validation-endpoint-fields#oidc).\n This is the simpler option and works natively with OIDC compatible applications.\n\n2. Using a root certificate. For more information, see\n [PKI tokens](/confidential-computing/confidential-space/docs/reference/token-validation-endpoint-fields#pki).\n This option allows offline verification, without the need for each relying\n party to discover the verification key. For an end-to-end example of offline\n validation, see the\n [Use Confidential Space with protected resources that aren't stored with a cloud provider](https://codelabs.developers.google.com/confidential-space-pki#0) codelab.\n\nRATS architecture overview\n--------------------------\n\nThe Remote ATtestation ProcedureS (RATS) architecture involves the following\nprimary entities:\n\n- Attester: An entity providing evidence of its trustworthiness. In\n Google Cloud, this is a confidential environment (for example, Confidential VM,\n Confidential GKE Nodes, or Confidential Space).\n\n- Verifier: An entity evaluating the evidence and generating attestation\n results. This is Google Cloud Attestation.\n\n- Relying party: An entity relying on the attestation results to make decisions\n (for example, a mobile app, storage bucket, or key management system).\n\nThe RATS architecture encompasses the following key roles:\n\n- Relying party owner: An entity configuring the appraisal policy for the\n relying party.\n\n- Verifier owner: An entity configuring the appraisal policy for the verifier\n (for example, Google).\n\n- Endorser: An entity providing endorsements validating the attester's\n capabilities (for example, hardware OEMs like AMD, Intel, or Nvidia).\n\n- Reference value provider: An entity providing reference values for the\n verifier to validate the attester's claims.\n\nPassport model attestation workflow\n-----------------------------------\n\nGoogle Cloud Attestation uses the *passport model*. The high-level workflow of\nthe passport model involves the following steps:\n\n1. The attester (confidential environment) requests an attestation result\n from the verifier (Google Cloud Attestation) by providing evidence.\n\n2. The verifier evaluates the evidence and issues an attestation result.\n\n3. The attester presents this result to the relying party.\n\nIn this workflow, Google Cloud Attestation acts as the verifier. Confidential\nenvironments such as (Confidential VM, Confidential GKE Nodes, or\nConfidential Space) act as the attester. Relying parties include Thales EKM, Google\nIAM, and other token brokers.\n\nTo ensure the freshness of attestation results, Google Cloud Attestation\nuses a cryptographic number that can't be reused. The attester can provide a\nrandom number, which is agreed upon with the relying party, to the verifier.\nThe relying party can then validate this number to ensure freshness and\ncorrectness."]]
