Acerca de la certificación con Intel SGX o TDX para Virtual Servers for VPC

Seleccionar disponibilidad

La certificación es un proceso de validación que garantiza que un entorno de ejecución se instancie en un enclave SGX o TDX cifrado en un sistema con una configuración de seguridad conocida. Data Center Attestation Primitives (DCAP) de Intel facilita la certificación.

Los perfiles de computación confidencial, la computación confidencial con Intel SGX para VPC y la computación confidencial con Intel TDX para VPC están disponibles en las regiones de Dallas (us-south), Washington DC (us-east) y Fráncfort (eu-de). Para más información, consulte Problemas conocidos de la informática confidencial. La informática confidencial sólo está disponible con determinados perfiles. Para más información, consulte Perfiles informáticos confidenciales.

Intel SGX ayuda a proteger los datos que están en uso mediante la tecnología de aislamiento de aplicaciones. Intel TDX ayuda a proteger los datos que están en uso mediante la tecnología de aislamiento de máquinas virtuales. Gracias a estas funciones, los desarrolladores pueden proteger la integridad y confidencialidad de su código y sus datos.

Habilitación de la certificación para SGX

El certificado PCK está disponible en el servidor virtual SGX, por lo que no es necesario obtenerlo de un servicio PCCS. Este certificado está en /root/.dcap-qcnl/*. Un usuario no root debe copiar el directorio /root/.dcap-qcnl/* a su directorio $HOME para utilizar DCAP.

Instale los paquetes DCAP y QCNL tal y como especifica Intel.

Instale la versión DCAP 1.19 o superior, ya que las versiones anteriores no admiten certificados almacenados en caché localmente.

Vuelva a configurar AESM para que utilice el certificado PCK almacenado en caché local y reinicie el servicio como se muestra en el siguiente ejemplo.

Configure /etc/sgx_default_qcnl.conf

 "use_secure_cert": false
 "local_cache_only": true

Reiniciar aesmd
```
 systemctl restart aesmd
```

Activación de la certificación para TDX

Para habilitar la atestación para TDX, siga las instrucciones de Intel Trust Domain at Runtime.

TDX no admite la interfaz vsock para la generación de presupuestos. Para la generación de presupuestos, debe utilizar tdvmcal.

Documentación sobre SGX y TDX de Intel

Para obtener más información sobre SGX y TDX, consulte los siguientes enlaces.

SGX

Para DCAP, consulte Intel ® SGX Data Center AttestationPrimitives Intel ® SGX DCAP.
Para la atestación mediante DCAP, consulte Intel® Software Guard Extensions Data Center Attestation Primitives Design Guide.
Para la instalación de DCAP, consulte la Documentación Confidencial de Informática Intel® ){: external}.
Para el servicio de verificación de testificación, consulte Autoridad de confianza de Intel ®.

TDX

Para TDX, consulte la Guía de habilitación de Intel TDX.
Para la atestación remota TDX, consulte Intel TDX Remote Attestation.