Fortanix Berikan Dukungan Atestasi dan Manajemen Kunci untuk Kubernetes Confidential Containers

brown padlock on blue wooden door — Jornada Produtora / Unsplash

Fortanix telah mengumumkan dukungan untuk Confidential Containers di dalam platform Kecerdasan Buatan Rahasia miliknya. Integrasi ini menghubungkan atestasi beban kerja Kubernetes dengan pelepasan kunci enkripsi, sehingga beban kerja yang memenuhi kebijakan keamanan dapat mendekripsi model dan data sensitif di dalam lingkungan eksekusi terpercaya berbasis perangkat keras.

Confidential Containers, yang merupakan proyek Cloud Native Computing Foundation, menjalankan pod Kubernetes di dalam mesin virtual rahasia yang didukung oleh lingkungan eksekusi terpercaya berbasis perangkat keras. Berbeda dengan kontainer biasa yang isolasinya sangat bergantung pada sistem operasi induk, mesin virtual rahasia menggunakan perlindungan perangkat keras untuk mengenkripsi memori dan membatasi akses ke beban kerja saat sedang berjalan. Hal ini membantu melindungi data yang sedang digunakan, bukan hanya data yang diam atau dalam transit, serta memungkinkan tim untuk menjalankan beban kerja sensitif pada infrastruktur bersama.

Tinjauan teknis Fortanix menjelaskan penggunaan plugin yang menghubungkan beban kerja Confidential Containers ke dua layanan. Confidential Computing Manager bertugas memverifikasi lingkungan, sementara Data Security Manager melepaskan kunci hanya kepada lingkungan yang telah diverifikasi oleh Confidential Computing Manager. Perusahaan menyatakan bahwa Confidential Computing Manager dapat melakukan atestasi terhadap prosesor dan unit pemrosesan grafis secara bersamaan, tergantung pada konfigurasi.

Dalam alur kerja yang dijelaskan, kunci tetap berada di Data Security Manager jika atestasi gagal, sehingga beban kerja tidak dapat mendekripsi model atau data yang dilindungi. Fortanix menyatakan bahwa layanan ini tersedia sekarang dan dapat dijalankan secara terklaster dengan dukungan 24 jam setiap hari, baik sebagai layanan terjamu, di lokasi, atau terputus dari jaringan luar. Perusahaan juga sedang mengembangkan plugin sumber terbuka untuk Confidential Containers.

Panduan penerapan Fortanix untuk Intel TDX menawarkan dua pengaturan unit pemrosesan grafis. Pengaturan Wajib membuat Confidential Computing Manager memvalidasi bukti unit pemrosesan grafis melalui layanan atestasi NVIDIA, sedangkan pengaturan Diabaikan hanya memeriksa keberadaan bukti dan mengabaikan hasilnya. Panduan tersebut juga mencatat bahwa bagan Helm Fortanix untuk Confidential Containers tidak mengonfigurasi pengaturan firmware atau kernel induk, yang harus diselesaikan sebelumnya.

Alternatif terkelola lainnya tersedia melalui Azure Secure Key Release dari Microsoft di dalam Key Vault Premium dan Managed HSM, yang terintegrasi dengan Azure Attestation untuk melepaskan kunci yang dapat diekspor.