Vertrauliche Datenverarbeitung mit LinuxONE

Die IBM Cloud Hyper Protect Virtual Servers für VPC ist veraltet. Ab dem 28. Februar 2026 können Sie keine neuen Instanzen mehr anlegen. Bestehende Instanzen werden bis zum 20. Februar 2027 unterstützt. Alle Instanzen, die zu diesem Zeitpunkt noch existieren, werden gelöscht. Sie können Ihre Workloads mit IBM Confidential Computing Container Runtime(früher bekannt als Hyper Protect Virtual Servers ) oder IBM Confidential Computing Container Runtime for Red Hat Virtualization Solutions(früher bekannt als Hyper Protect Container Runtime for Red Hat Virtualization Solutions) neu bereitstellen. Informationen zur Datenmigration finden Sie in der Anleitung zur Migration. Weitere Informationen finden Sie in der Ankündigung zur Abschaffung des Dienstes.

Vertrauliches Computing wird auf LinuxONE (Prozessorarchitektur s390x ) durch die Verwendung der Technologie „ IBM Secure Execution for Linux ” ermöglicht. Diese Technologie ist Teil der Hardware der Systeme IBMz17, IBM z16, IBM z15, IBM LinuxONE Emperor 4,IBM LinuxONE Emperor 5 und IBM LinuxONE III. Mit IBM Secure Execution für Linux können Sie Workloads sicher in der Cloud bereitstellen. Es trägt dazu bei, die Integrität und Vertraulichkeit von Boot-Images und die Authentizität des Servers zu gewährleisten. Anwendungen sind vom Betriebssystem isoliert und bieten somit mehr Datenschutz und Sicherheit für die Workload.

Mithilfe von IBM Secure Execution for Linuxkönnen Sie verschlüsselte Linux-Images erstellen, die in einer öffentlichen, privaten oder Hybrid Cloud ausgeführt werden können, wobei der verwendete Speicher geschützt ist. Die Workload oder Daten sind vor externen und Insiderbedrohungen geschützt.

Ein neues Betriebssystem, das die IBM Secure Execution for Linux Technologie nutzt, ist jetzt als IBM Hyper Protect verfügbar. Das zugehörige Image, das zur Erstellung der Instanz verwendet wird, heißt IBM Hyper Protect Container Runtime(HPCR)Image. Eine virtuelle Serverinstanz, die mithilfe dieses Images bereitgestellt wird, wird als Hyper Protect Virtual Servers für VPC-Instanz (Virtual Private Cloud) bezeichnet.

Eine detaillierte technische Beschreibung der IBM Hyper Protect Platform finden Sie im White Paper The Second Generation of IBM Hyper Protect Platform.

Sehen Sie sich das Tutorial und das Video über vertrauliches Computing für eine Finanztransaktion unter Verwendung von Hyper Protect Virtual Server für VPC an. Sie können sich darüber informieren, wie Sie persönlich identifizierbare Daten und Kreditkarteninformationen, die in Webformulare eingegeben werden, mit Confidential Computing auf Hyper Protect Virtual Server für VPC schützen können.

Die lokale Version von Hyper Protect Virtual Serversfinden Sie unter IBM Hyper Protect Virtual Servers v2.1.

Hyper Protect Virtual Servers für VPC

Hyper Protect Virtual Servers for VPC nutzt die Vorteile von IBM Secure Execution for Linux, um eine Begrenzung für jede Instanz bereitzustellen, und bietet die folgenden Vorteile:

  • Verfügbarkeit auswählen

    Instanzprofile für die Hyper Protect Virtual Server-Instanzen sind in den Regionen USA Süd (Dallas), USA Ost (Washington, DC), Kanada (Toronto), Brasilien (São Paulo), Großbritannien (London), Deutschland (Frankfurt), Spanien (Madrid) und Japan (Tokio) verfügbar.

  • Sichere Ausführungsgrenze für den Schutz vor internen und externen Bedrohungen

    Hyper Protect Virtual Servers für VPC bietet technische Sicherheit, dass unbefugte Benutzer, einschließlich Administratoren von IBM Cloud, keinen Zugriff auf die Anwendung haben. Workloads werden durch einzelne sichere Grenzen auf Instanzebene gesperrt.

  • Mehrparteienvertrag und Attestierung der Implementierung

    Anwendung der Zero-Trust-Prinzipien von der Workload-Entwicklung bis zur Bereitstellung. Da mehrere Personen und juristische Personen zusammenarbeiten, ist es wichtig, Pflicht und Zugriff voneinander zu trennen. Hyper Protect Virtual Servers for VPC basiert auf einem neu eingeführten verschlüsselten Vertragskonzept. Sie ermöglicht es jeder Person, ihren Beitrag zu leisten und durch Verschlüsselung sicherzustellen, dass keine der anderen Personen auf diese Daten oder geistiges Eigentum zugreifen kann. Der Einsatz kann von einer Prüferpersona durch einen Bestätigungsdatensatz validiert werden, der signiert und verschlüsselt ist, um sicherzustellen, dass nur der Prüfer diesen Einblick hat.

  • Malware-Schutz

    Hyper Protect Virtual Servers für VPC verwendet Secure Build, um einen Verifizierungsprozess einzurichten, der sicherstellt, dass nur autorisierter Code in einer Anwendung ausgeführt wird. Es werden nur Container-Versionen bereitgestellt, die bei der Bereitstellung durch explizite verdaut oder sind signiert validiert werden, und es kann nur von einer privat Container Registry mit Authentifizierung abgerufen werden.

  • Bringen Sie Ihr eigenes OCI-Image mit und verwenden Sie den verwalteten Container-Runtime-Dienst

    Verwenden Sie ein beliebiges OCI-Image(Open-Container-Initiative) und profitieren Sie von den Vorteilen einer vertraulichen Datenverarbeitungslösung für zusätzliche Schutzstufen. Stellen Sie durch einen unterzeichneten Vertrag sicher, dass nur eine bestimmte Kombination aus Ihrem Arbeitsaufwand und Ihrer Umgebung bereitgestellt wird.

  • Basierend auf der VPC-Infrastruktur (VPC = Virtual Private Cloud) für zusätzliche Netzsicherheit

    Wählen Sie aus verschiedenen Profilgrößen und erweitern Sie nach Bedarf, um containerisierte Anwendungen und nutzungsabhängige Gebühren auf Stundenbasis zu schützen.

    Nutzen Sie Ihre bestehenden oder gemeinsamen Netzwerksicherheitsgruppen und Protokollierungsinfrastruktur.

Führen Sie die folgenden Schritte aus, um mit Hyper Protect Virtual Servers for VPC zu beginnen. Am wichtigsten ist, dass zum Erstellen einer Instanz ein gültiger Vertrag erforderlich ist.

Vorbereitende Schritte

Es ist wichtig, die folgenden Informationen zu lesen und die erforderlichen Vorbereitungen zu treffen, bevor Sie eine Hyper Protect Virtual Servers for VPC-Instanz erstellen.

  • Planung

    Berücksichtigen Sie Aspekte wie Profile und Betriebssystem-Images. Um eine Hyper Protect Virtual Servers for VPC-Instanz mit einem Bestandsimage zu erstellen, wählen Sie das IBM Hyper Protect Container Runtime-Image aus.

  • Eigenes Image mit Hyper Protect Virtual Servers erstellen

    Neben der Verwendung des Bestandsimages können Sie Ihr eigenes Image mit Hyper Protect Virtual Servers sicher erstellen und dieses Image verwenden, um eine Hyper Protect Virtual Servers for VPC-Instanz bereitzustellen. Weitere Informationen finden Sie unter Confidential Computing Container Secure Build.

  • Vertrag vorbereiten

    Wenn Sie eine Instanz erstellen, müssen Sie einen gültigen Vertrag im Feld Benutzerdaten übergeben. Das IBM Hyper Protect Container Runtime-Image besteht aus verschiedenen Komponenten oder Services, die den Vertrag entschlüsseln (sofern er verschlüsselt ist), das Vertragsschema validieren, auf Vertragssignatur prüfen, die Kennphrase zum Verschlüsseln der Platteneinheit erstellen und den im Vertrag angegebenen Container aktivieren.

    Wenn kein Vertrag übergeben wird, wird die Instanz beendet.

  • Protokollierung konfigurieren

    Um eine Hyper Protect Virtual Servers for VPC-Instanz zu starten, müssen Sie zuerst die Protokollierung einrichten, indem Sie die Protokollierungskonfiguration im Vertrag hinzufügen. Nach der Bereitstellung können Sie zwei Arten der Protokollierung verwenden, um die Protokolle der Hyper Protect Virtual Servers for VPC-Instanz anzuzeigen.

    • Protokollierungsservice, den Sie einrichten

      Siehe Protokollierung für Hyper Protect Virtual Servers für VPC.

      Wenn die Protokollierung nicht erfolgreich konfiguriert wurde, wird die Instanz automatisch beendet.

    • Serielle Konsole

      Nachdem Sie das Betriebssystem ausgewählt und mit der Bereitstellung fortgefahren haben, können Sie den Status der Bereitstellung und auch die Protokolle in der seriellen Konsole anzeigen, um zu überprüfen, ob die Instanz eine Hyper Protect Virtual Servers for VPC-Instanz ist. Sie können die Informationen aus diesem Protokoll auch zur Behebung von Bereitstellungsproblemen verwenden. Weitere Informationen enthält der Abschnitt Über VNC-Konsolen oder serielle Konsolen auf Virtual Server-Instanzen zugreifen.

  • Datenvolumen

    Die Instanz unterstützt mehrere Datenvolumes, die standardmäßig mit dem von Ihnen bereitgestellten Seed oder der Passphrase verschlüsselt werden, um den Schutz Ihrer Workload-Daten zu gewährleisten. Es wird empfohlen, alle erforderlichen Data-Volumes während der Instanzerstellung an die Instanz anzuhängen, damit die Daten aus dem Container in den Data-Volumes gespeichert werden. Es wird auch empfohlen, einen Schnappschuss der Datenvolumina zu machen, damit Sie auf diesen zurückgreifen können, falls Sie in Zukunft Probleme haben sollten.

    Ab der HPCR-Imageversion ibm-hyper-protect-container-runtime-1-0-s390x-9 wird der Datenträger für neue Hyper Protect Virtual Servers für VPC-Instanzen in zwei Teile partitioniert. Die erste Partition (100Mib) ist für interne Metadaten reserviert; die zweite Partition bleibt als Datendatenträger für die Workload. Es werden nur neue Datenträger partitioniert und Sie können den partitionierten Datenträger nicht mit einer älteren Version des HPCR-Image verwenden. Die Bereitstellung mit einem vorhandenen verschlüsselten Datenträger funktioniert ebenfalls. Der Unterschied besteht darin, dass der vorhandene Datenträger nicht partitioniert wird und Sie auch zu einem älteren Image mit diesem Datenträger zurückkehren können.

    Wenn Sie eine Hyper Protect Virtual Servers für eine VPC-Instanz mit einem angehängten Datenvolumen erstellen, führt das Trennen dieses Datenvolumens dazu, dass der auf der Instanz ausgeführte Workload fehlschlägt. Es wird empfohlen, den Datenträger nicht abzuhängen.

  • Sicherheitsgruppe für Ports

    Die dem Container oder der Workload zugeordneten Ports müssen explizit über Sicherheitsgruppen geöffnet werden, damit auf sie zugegriffen werden kann. Daher müssen Sie eine Sicherheitsgruppe erstellen, die auf den Ports basiert, die dem Container zugeordnet sind, und sie der entsprechenden VPC zuordnen, die mit der Hyper Protect Virtual Servers for VPC-Instanz verwendet wird.

Hyper Protect Virtual Servers für VPC-Instanz erstellen

Nachdem Sie die Planung abgeschlossen und den Vertrag vorbereitet haben, können Sie eine Hyper Protect Virtual Servers for VPC-Instanz erstellen.

Lesen Sie die Dokumentation zur Fehlerbehebung oder fordern Sie Unterstützung an, wenn Probleme mit der Instanz auftreten.

Sie können Terraform verwenden, um Operationen mit Hyper Protect Virtual Servers for VPC zu automatisieren.

Sie können Ihre Hyper Protect Virtual Servers für VPC-Instanzen in private-only Netzwerkkonfigurationen verwenden, in denen die VPC kein öffentliches Gateway und die virtuelle Serverinstanz keine freie IP hat. Sie können sich mit privaten Endpunkten anderer Dienste verbinden, einschließlich Container Registry und IBM Log Analysis. Voraussetzung ist ein DNS-Server, der mit Ihrer virtuellen Serverinstanz verbunden ist. Sie müssen keine zusätzlichen Einstellungen vornehmen.

Recovery oder Upgrade für eine Hyper Protect Virtual Servers for VPC-Instanz unter Verwendung von IBM Cloud VPC-Momentaufnahmen durchführen

Wenn Ihre Hyper Protect Virtual Servers für VPC aus irgendeinem Grund fehlschlägt, können Sie eine neue Instanz erstellen und den Datenträger zuordnen, der der fehlgeschlagenen Instanz zugeordnet wurde (innerhalb von 15 Minuten nach Erstellung der neuen Instanz). Stellen Sie sicher, dass Sie denselben Vertrag verwenden, der ursprünglich zum Erstellen der Instanz verwendet wurde.

Alternativ erstellen Sie eine Momentaufnahme des Datenträgers, der der fehlgeschlagenen Instanz zugeordnet wurde. Erstellen Sie anschließend eine neue Instanz. Wenn Sie den Datenträger anhängen, wählen Sie Datenträger aus einer Momentaufnahme zurückschreiben aus und wählen Sie die Momentaufnahme aus, die Sie zuvor für die Zurückschreibung des Datenträgers erstellt haben. Stellen Sie sicher, dass Sie denselben Vertrag verwenden, der ursprünglich zum Erstellen der Instanz verwendet wurde.

Wenn Sie ein neues Hyper Protect Container Runtime-Image immer dann verwenden möchten, wenn IBM es verfügbar macht, können Sie eine der genannten Prozeduren ausführen, die Momentaufnahmen verwenden. Sie müssen denselben Vertrag verwenden, den Sie zum Erstellen der ursprünglichen Instanz verwendet haben.