Elaborazione confidenziale con LinuxONE

Il sito IBM Cloud Hyper Protect Virtual Servers per VPC è deprecato. A partire dal 28 febbraio 2026, non sarà più possibile creare nuove istanze. Le istanze esistenti saranno supportate fino al 20 febbraio 2027. Tutte le istanze ancora esistenti a quella data saranno eliminate. È possibile distribuire nuovamente i carichi di lavoro utilizzando IBM Confidential Computing Container Runtime(precedentemente noto come Hyper Protect Virtual Servers ) o IBM Confidential Computing Container Runtime for Red Hat Virtualization Solutions(precedentemente noto come Hyper Protect Container Runtime for Red Hat Virtualization Solutions). Per informazioni sulla migrazione dei dati, consultare la guida Migrazione. Per ulteriori informazioni, vedere l'annuncio di deprezzamento del servizio.

Il calcolo riservato è abilitato su LinuxONE (architettura del processore s390x ) utilizzando la tecnologia Secure Execution for Linux di IBM. Questa tecnologia fa parte dell'hardware dei sistemi IBMz17, IBM z16, IBM z15, IBM LinuxONE Emperor 4,IBM LinuxONE Emperor 5 e IBM LinuxONE III. Con IBM Secure Execution for Linux, è possibile distribuire in modo sicuro i carichi di lavoro nel cloud. Aiuta a garantire l'integrità e la riservatezza delle immagini di avvio e l'autenticità del server. Le applicazioni sono isolate dal sistema operativo, fornendo così maggiore privacy e sicurezza per il carico di lavoro.

Utilizzando IBM Secure Execution per Linux, puoi creare immagini Linux crittografate che possono essere eseguite su un cloud pubblico, privato o ibrido con la loro memoria protetta in uso. Il carico di lavoro o i dati sono protetti da minacce esterne e interne.

Un nuovo sistema operativo che utilizza la tecnologia IBM Secure Execution for Linux è ora disponibile come IBM Hyper Protect. L'immagine associata utilizzata per creare l'istanza è chiamata immagine IBM Hyper Protect Container Runtime(HPCR). Un'istanza di server virtuale che viene fornita utilizzando questa immagine è chiamata istanza IBM Cloud Hyper Protect Virtual Servers per VPC (Virtual Private Cloud).

Per un approfondimento tecnico su IBM Hyper Protect Platform, vedi il white paper The Second Generation of IBM Hyper Protect Platform.

Consultate il tutorial e il video sull'Informatica riservata per una transazione finanziaria utilizzando Hyper Protect Virtual Server per VPC. È possibile apprendere come proteggere le informazioni di identificazione personale e i dati della carta di credito inseriti nei moduli Web utilizzando Confidential Computing su Hyper Protect Virtual Server per VPC.

Per la versione in loco di Hyper Protect Virtual Servers, vedi IBM Hyper Protect Virtual Servers v2.1.

Hyper Protect Virtual Servers per VPC

Hyper Protect Virtual Servers for VPC sfrutta IBM Secure Execution for Linux per fornire un limite per ciascuna istanza e fornisce i seguenti vantaggi:

  • Seleziona disponibilità

    I profili di istanza per le istanze Hyper Protect Virtual Server sono disponibili nelle regioni USA Sud (Dallas), USA Est (Washington, DC), Canada (Toronto), Brasile (San Paolo), Regno Unito (Londra), Germania (Francoforte), Spagna (Madrid) e Giappone (Tokyo).

  • Limite di esecuzione sicuro per la protezione dalle minacce interne ed esterne

    Hyper Protect Virtual Servers per VPC fornisce la garanzia tecnica che gli utenti non autorizzati, inclusi gli amministratori dell' IBM Cloud, non abbiano accesso all'applicazione. I carichi di lavoro sono bloccati da singoli limiti sicuri a livello di istanza.

  • Contratto multiparte e attestazione di impiego

    Applicare i principi di zero trust dallo sviluppo del carico di lavoro fino all'implementazione. Poiché più persone e persone giuridiche collaborano, è essenziale separare il dovere e l'accesso. Hyper Protect Virtual Servers per VPC si basa sul concetto di contratto crittografato appena introdotto. Essa consente a ciascuna persona di fornire il proprio contributo e di essere garantita tramite crittografia che nessuna delle altre persone possa accedere a questi dati o alla proprietà intellettuale. L'implementazione può essere convalidata da un auditor persona attraverso un registro di attestazione, che è firmato e crittografato per garantire che solo l'auditor abbia questo livello di conoscenza.

  • Protezioni malware

    Hyper Protect Virtual Servers per VPC utilizza Secure Build per impostare un processo di verifica per garantire che solo il codice autorizzato venga eseguito in un'applicazione. Distribuisce solo le versioni del contenitore che sono state convalidate al momento della distribuzione attraverso l'esplicito o sono firmati, e può essere estratto solo da un Container Registry privato con autenticazione.

  • Portare la propria immagine OCI e utilizzare il servizio Container Runtime gestito

    Utilizza qualsiasi immagine OCI(open container initiative) e ottieni i vantaggi di una soluzione di elaborazione riservata per ulteriori livelli di protezione. Assicuratevi, tramite un contratto firmato, che venga distribuita solo una combinazione specifica del vostro carico di lavoro e del vostro ambiente.

  • Basato sull'infrastruttura VPC (Virtual Private Cloud) per una maggiore sicurezza di rete

    Scegli tra varie dimensioni del profilo e cresci in base alle necessità per proteggere le applicazioni containerizzate e il pay-as-you-go su base oraria.

    Sfruttate i vostri gruppi di sicurezza della rete e Infrastruttura di registrazione esistenti o comuni.

Completa la seguente procedura per iniziare a utilizzare Hyper Protect Virtual Servers per VPC. Soprattutto, è richiesto un contratto valido per creare un'istanza.

Prima di iniziare

È importante leggere le seguenti informazioni e completare le preparazioni richieste prima di creare un Hyper Protect Virtual Servers per l'istanza VPC.

  • Pianificazione

    Considerate aspetti come i profili e le immagini del sistema operativo. Per creare un'istanza Hyper Protect Virtual Servers per VPC con un'immagine stock, scegli IBM Hyper Protect Container Runtime image.

  • Scegli di creare la tua immagine con Hyper Protect Virtual Servers.

    Oltre a usare l'immagine stock, puoi scegliere di creare in maniera sicura la tua immagine con Hyper Protect Virtual Servers e utilizzare tale immagine per eseguire il provisioning di un'istanza Hyper Protect Virtual Servers per VPC. Per ulteriori informazioni, vedere Creazione sicura del contenitore di calcolo riservato.

  • Preparare un contratto

    Quando crei un'istanza, devi passare un contratto valido nel campo User Data. L'immagine IBM Hyper Protect Container Runtime è composta da diversi componenti o servizi che decodificano il contratto (se è codificato), convalidano lo schema del contratto, verificano la firma del contratto, creano la passphrase per crittografare il dispositivo disco e attivano il contenitore specificato nel contratto.

    Se non viene passato alcun contratto, l'istanza alla fine viene chiusa.

  • Configurazione dell'accesso

    Per avviare un'istanza Hyper Protect Virtual Servers per VPC, devi prima configurare la registrazione aggiungendo la configurazione della registrazione nel contratto. Dopo la distribuzione, puoi utilizzare due tipi di registrazione per visualizzare i log dell'istanza VPC di Hyper Protect Virtual Servers.

    • Servizio di registrazione che hai impostato

      Vedi Registrazione per Hyper Protect Virtual Servers per VPC.

      Se la registrazione non è configurata correttamente, l'istanza viene chiusa automaticamente.

    • Console seriale

      Dopo aver selezionato il sistema operativo e procedere con la distribuzione, puoi visualizzare lo stato della distribuzione e visualizzare anche i log sulla console seriale per confermare se l'istanza è un Hyper Protect Virtual Servers per l'istanza VPC. È anche possibile utilizzare le informazioni di questo log per risolvere problemi di provisioning. Per ulteriori informazioni, vedi Accesso alle istanze del server virtuale utilizzando le console VNC o seriali.

  • Volume dati

    L'istanza supporta più volumi di dati che sono crittografati per impostazione predefinita con il seed o la passphrase forniti dall'utente, il che contribuisce a garantire la protezione dei dati del carico di lavoro. Si consiglia di collegare tutti i volumi di dati richiesti all'istanza durante la creazione dell'istanza, in modo che i dati del contenitore vengano memorizzati nei volumi di dati. Si consiglia inoltre di creare un'istantanea dei volumi di dati in modo da potervi ritornare in caso di problemi futuri.

    A partire dalla versione dell'immagine HPCR ibm-hyper-protect-container-runtime-1-0-s390x-9, per il nuovo Hyper Protect Virtual Servers per istanze VPC, il volume di dati è suddiviso in due parti. La prima partizione (100Mib) è riservata ai metadati interni; la seconda partizione rimane come volume di dati per il carico di lavoro. Solo i nuovi volumi sono partizionati e non puoi utilizzare il volume partizionato con una vecchia versione dell'immagine HPCR. Funziona anche il provisioning con un volume crittografato esistente. La differenza è che il volume esistente non viene partizionato ed è anche possibile tornare a un'immagine precedente con questo volume.

    Quando si crea un'istanza Hyper Protect Virtual Servers per VPC con un volume di dati collegato, il distacco di tale volume di dati provoca il fallimento del carico di lavoro in esecuzione sull'istanza. Si consiglia di non scollegare il volume di dati.

  • Gruppo di protezione per le porte

    Le porte associate al contenitore o al carico di lavoro devono essere esplicitamente aperte tramite i gruppi di sicurezza affinché siano accessibili. Pertanto, devi creare un gruppo di sicurezza basato sulle porte che sono associate al contenitore e collegarlo al VPC corrispondente utilizzato con Hyper Protect Virtual Servers per l'istanza VPC.

Creazione di un'istanza Hyper Protect Virtual Servers per VPC

Dopo aver terminato la pianificazione e avere il contratto pronto, puoi creare un'istanza Hyper Protect Virtual Servers per VPC.

Consulta la documentazione per la risoluzione dei problemi o ottieni supporto se hai qualche problema con l'istanza.

Puoi utilizzare Terraform per automatizzare le operazioni con Hyper Protect Virtual Servers per VPC.

È possibile utilizzare la propria Hyper Protect Virtual Servers per l'istanza VPC in configurazioni di rete solo private, in cui la VPC non ha un gateway pubblico e l'istanza del server virtuale non ha un IP flottante. È possibile connettersi agli endpoint privati di altri servizi, tra cui Container Registry e IBM Log Analysis. Il prerequisito è disporre di un server DNS collegato all'istanza del server virtuale. Non è necessario effettuare alcuna configurazione aggiuntiva.

Ripristino o aggiornamento di un'istanza Hyper Protect Virtual Servers for VPC utilizzando le istantanee IBM Cloud VPC.

Se il tuo Hyper Protect Virtual Servers per VPC ha esito negativo per qualsiasi motivo, puoi creare una nuova istanza e collegare il volume di dati che era stato collegato all'istanza non riuscita (entro 15 minuti dalla creazione della nuova istanza). Assicurati di utilizzare lo stesso contratto che era stato utilizzato originariamente per creare l'istanza.

In alternativa, creare un'istantanea del volume di dati collegato all'istanza non riuscita. Quindi crea una nuova istanza. Quando colleghi il volume dati, scegli ripristino di un volume da un'istantanea e seleziona l'istantanea che hai eseguito in precedenza da cui ripristinare il volume. Assicurati di utilizzare lo stesso contratto che era stato utilizzato originariamente per creare l'istanza.

Quando si desidera utilizzare una nuova immagine Hyper Protect Container Runtime ogni volta che IBM la rende disponibile, è possibile seguire una delle procedure indicate che utilizzano le istantanee. Devi utilizzare lo stesso contratto che hai utilizzato per creare l'istanza originale.