기밀 컴퓨팅

Confidential Computing는 데이터 무결성, 데이터 기밀성, 코드 무결성에 대한 보안 수준을 향상하는 환경의 일종인 하드웨어 기반 TEE(신뢰 실행 환경)를 사용하여 사용 중 데이터를 보호할 수 있는 기술입니다.

1. SUSE Multi-Linux Manager 포함 Confidential Computing

TEE의 신뢰성은 증명 프로세스를 통해 확인할 수 있습니다. SUSE Multi-Linux Manager은(는) 등록된 시스템의 인증 서버로 사용할 수 있습니다. 그리고 이 모드로 실행되는 시스템에 대한 보고서 페이지를 생성합니다. 이러한 시스템은 정기적으로 증명 및 검사해야 합니다. 과거 검사 기록도 저장되며 요청에 따라 사용할 수 있습니다.

Confidential Computing 증명은 사용되는 하드웨어와 증명 대상 시스템이 실행되는 환경에 따라 달라집니다.

Confidential Computing Attestation is only available when SUSE Multi-Linux Manager is running on x86-64 architecture.

2. 요구사항

Confidential Computing는 특성이 다음과 같은 환경에서 설정할 수 있습니다.

  • Attested system (virtual machine) is bootstrapped to SUSE Multi-Linux Manager and runs on one of the following systems:

    • SUSE Linux Enterprise 15 SP6

    • SUSE Linux Enterprise 15 SP7

    • SUSE Linux Enterprise 16

    • openSUSE Leap 15 SP6

    • openSUSE Leap 15 SP7

    • openSUSE Leap 16

  • Hardware must have one of the following CPUs:

    • AMD EPYC Milan

    • AMD EPYC Genoa

    • AMD EPYC Bergamo

    • AMD EPYC Siena

    • AMD EPYC Turin

    • IBM z16

    • IBM z17

  • Confidential Computing 증명을 허용하도록 BIOS를 구성해야 합니다.

  • Host OS and the virtualization software (KVM and libvirt) must support Confidential Computing

  • For information about required URLs when performing confidential computing attestation for IBM, see see Required URLs.

3. 제한 사항

Secure boot is attested. However, currently KVM secure boot and AMD attestation tool snpguest are not working together.

4. SUSE Multi-Linux Manager에서 Confidential Computing 사용

호스트에서 Confidential Computing를 설정 및 구성하는 정확한 단계는 OS 제조업체 설명서를 참조하십시오.
절차: SUSE Multi-Linux Manager 설치 중에 증명 컨테이너 활성화

  1. The attestation container is enabled during the installation of SUSE Multi-Linux Manager with mgradm install podman.

  2. Add the following to file mgradm.yaml.

    coco:
    replicas: 1
절차: SUSE Multi-Linux Manager 설치 후 증명 컨테이너 활성화

  1. To enable the attestation container after the installation, use the command line parameter mgradm.

  2. 명령 실행

    mgradm scale uyuni-server-attestation --replicas 1
절차: SUSE Multi-Linux Manager 설치 후 증명 컨테이너 비활성화

  1. 이미 활성화된 증명 컨테이너를 비활성화하려면 다음 명령을 실행합니다.

    mgradm scale uyuni-server-attestation --replicas 0
절차: 증명 활성화

  1. 선택한 시스템의 경우 탭 메뉴: 감사[기밀 컴퓨팅 > 설정]으로 이동합니다.

  2. 토글 버튼을 선택하여 증명을 활성화합니다.

  3. In the field Environment Type select the correct option from the drop-down list.

  4. If the field Environment Type is set to one of the IBM z-series CPU values, two more settings are required, Host Key Document and Secure Execution Header.

    Host Key Document is a public key certificate of the IBM hypervisor server instance where the attested system is going to run.

    Secure Execution Header is a binary file needed to build the IBM secure VM image of the attested system.

    Both files should be requested by the administrator creating the attested system VM running on the IBM hypervisor.

    Host Key Document and Secure Execution Header are not security sensitive, therefore it is safe to store them on the SUSE Multi-Linux Manager server.

  5. 저장 버튼을 클릭하여 변경 내용을 저장합니다.

절차: 새 증명 예약

  1. 선택한 시스템의 경우 tab 감사  기밀 컴퓨팅  증명 나열로 이동합니다.

  2. 증명 예약을 클릭합니다. 새 양식이 열립니다.

  3. In the field Earliest select the time of running the attestation.

  4. If needed, add the newly created attestation to the action chain by selecting Add to option.

  5. 일정 버튼을 클릭하여 새 증명 실행을 저장하고 예약합니다.

절차: 시스템의 증명 보고서 세부 정보 보기

  1. 선택한 시스템의 경우 tab 감사  기밀 컴퓨팅  증명 나열로 이동합니다.

  2. 확인할 보고서를 찾아 선택합니다.

  3. After clicking the selected attestation report tab Overview will open.

    1. If the selected CPU is AMD you will be shown additional tabs SEV-SNP and Secure boot.

    2. If the selected CPU is IBM you will be shown additional tab IBM SELPVATTEST.

절차: 감사에서 증명 보고서 보기

  1. 탐색 모음에서 감사  기밀 컴퓨팅을 선택합니다.

  2. 모든 증명의 목록이 기본 패널에 표시됩니다.

  3. 확인할 보고서를 찾아 선택합니다.

4.1. 보고서 상태

증명 보고서의 상태는 다음 중 하나일 수 있습니다.

보류 중

예약된 증명의 기본 상태입니다. 프로세스가 아직 시작되거나 완료되지 않았기 때문에 보고서를 아직 사용할 수 없습니다.

성공

When the scheduled attestation creates a report which can be viewed, the status of the process is Successful.

실패

When the scheduled fails and does not create a report as a result, the status of the process is Failed.

5. 관련 주제

Confidential Computing에 대한 자세한 내용은 여기를 참조하십시오.