コンフィデンシャルコンピューティング

Confidential Computingは、ハードウェアベースの高信頼実行環境(TEE)を利用して、使用中のデータを保護できる技術です。TEEとは、データの整合性、データの機密性、およびコードの整合性に対して強化されたレベルのセキュリティを提供する環境のタイプです。

1. SUSE Multi-Linux ManagerでのConfidential Computing

TEEの信頼性は認証プロセスによってチェックされます。SUSE Multi-Linux Managerを、登録されているシステムの認証サーバとして使用できます。これにより、このモードで動作しているシステムのレポートページが生成されます。これらのシステムは定期的に認証およびチェックする必要があります。過去のチェックの履歴も保存されており、要求に応じて利用できます。

Confidential Computingの検証は、認証されるシステムが実行されている使用ハードウェアと環境によって異なります。

Confidential Computing Attestation is only available when SUSE Multi-Linux Manager is running on x86-64 architecture.

2. 要件

Confidential Computingは、次の特性を持つ環境にセットアップできます。

  • Attested system (virtual machine) is bootstrapped to SUSE Multi-Linux Manager and runs on one of the following systems:

    • SUSE Linux Enterprise 15 SP6

    • SUSE Linux Enterprise 15 SP7

    • SUSE Linux Enterprise 16

    • openSUSE Leap 15 SP6

    • openSUSE Leap 15 SP7

    • openSUSE Leap 16

  • Hardware must have one of the following CPUs:

    • AMD EPYC Milan

    • AMD EPYC Genoa

    • AMD EPYC Bergamo

    • AMD EPYC Siena

    • AMD EPYC Turin

    • IBM z16

    • IBM z17

  • BIOSがConfidential Computingの認証を許可するように設定されている必要がある

  • Host OS and the virtualization software (KVM and libvirt) must support Confidential Computing

  • For information about required URLs when performing confidential computing attestation for IBM, see see Required URLs.

3. 制限事項

Secure boot is attested. However, currently KVM secure boot and AMD attestation tool snpguest are not working together.

4. SUSE Multi-Linux ManagerでのConfidential Computingの使用

Confidential Computingをホストにセットアップして設定する正確な手順については、OSベンダのマニュアルを参照してください。
プロシージャ: SUSE Multi-Linux Managerのインストール中に認証コンテナを有効にする

  1. The attestation container is enabled during the installation of SUSE Multi-Linux Manager with mgradm install podman.

  2. Add the following to file mgradm.yaml.

    coco:
    replicas: 1
プロシージャ: SUSE Multi-Linux Managerのインストール後に認証コンテナを有効にする

  1. To enable the attestation container after the installation, use the command line parameter mgradm.

  2. 次のコマンドを実行します。

    mgradm scale uyuni-server-attestation --replicas 1
プロシージャ: SUSE Multi-Linux Managerのインストール後に認証コンテナを無効にする

  1. すでに有効な認証コンテナを無効にするには、次のコマンドを実行します。

    mgradm scale uyuni-server-attestation --replicas 0
プロシージャ: 認証を有効にする

  1. 選択したシステムで、監査  Confidential Computing  設定 (コンフィデンシャルコンピューティング > 設定)に移動します。

  2. トグルボタンを選択して認証を有効にします。

  3. In the field Environment Type select the correct option from the drop-down list.

  4. If the field Environment Type is set to one of the IBM z-series CPU values, two more settings are required, Host Key Document and Secure Execution Header.

    Host Key Document is a public key certificate of the IBM hypervisor server instance where the attested system is going to run.

    Secure Execution Header is a binary file needed to build the IBM secure VM image of the attested system.

    Both files should be requested by the administrator creating the attested system VM running on the IBM hypervisor.

    Host Key Document and Secure Execution Header are not security sensitive, therefore it is safe to store them on the SUSE Multi-Linux Manager server.

  5. 保存をクリックして、変更を保存します。

プロシージャ: 新しい認証をスケジュールする

  1. 選択したシステムで、監査  Confidential Computing  List Attestations (コンフィデンシャルコンピューティング > 認証の一覧)タブに移動します。

  2. 認証のスケジュールを設定するをクリックします。新しいフォームが開きます。

  3. In the field Earliest select the time of running the attestation.

  4. If needed, add the newly created attestation to the action chain by selecting Add to option.

  5. スケジュールをクリックして、新しい認証の実行を保存してスケジュールします。

プロシージャ: システム詳細から検証レポートを表示する

  1. 選択したシステムで、監査  Confidential Computing  List Attestations (コンフィデンシャルコンピューティング > 認証の一覧)タブに移動します。

  2. 表示するレポートを見つけて選択します。

  3. After clicking the selected attestation report tab Overview will open.

    1. If the selected CPU is AMD you will be shown additional tabs SEV-SNP and Secure boot.

    2. If the selected CPU is IBM you will be shown additional tab IBM SELPVATTEST.

プロシージャ: 監査から検証レポートを表示する

  1. ナビゲーションバーから、監査  Confidential Computing (コンフィデンシャルコンピューティング )を選択します。

  2. メインパネルにすべての認証のリストが表示されます。

  3. 表示するレポートを見つけて選択します。

4.1. レポートのステータス

認証レポートは次のいずれかのステータスになります。

待機中

これはスケジュールされた認証のデフォルトのステータスです。プロセスがまだ開始されていないか完了していないため、レポートはまだ利用可能ではありません。

成功

When the scheduled attestation creates a report which can be viewed, the status of the process is Successful.

失敗

When the scheduled fails and does not create a report as a result, the status of the process is Failed.

5. 関連トピック

Confidential Computingの詳細については、こちらを参照してください。