インテル SGX または TDX での認証について Virtual Servers for VPC

在庫状況を選択

認証とは、セキュリティ構成が既知のシステム上の暗号化された SGX または TDX エンクレーブで、ランタイム環境がインスタンス化されていることを確認する検証プロセスです。 インテルのデータセンター認証プリミティブ（DCAP）は、認証を容易にします。

機密コンピューティング プロファイル、VPC 向け Intel SGX による機密コンピューティング、および VPC 向け Intel TDX による機密コンピューティングは、ダラス (us-south)、 Washington DC (us-east)、フランクフルト (eu-de) リージョンで利用可能です。 詳細については、 コンフィデンシャル・コンピューティングの既知の問題を 参照してください。 コンフィデンシャル・コンピューティングは一部のプロファイルでのみ利用可能です。 詳しくは、 コンフィデンシャル・コンピューティング・プロファイルを 参照のこと。

インテル SGXは、アプリケーション分離技術により、使用中のデータの保護を支援します。 インテルTDXは、仮想マシンの分離技術を通じて、使用中のデータの保護を支援する。 これらの機能を使用することで、開発者はコードとデータの完全性と機密性を保護することができます。

SGXの認証の有効化

PCK 証明書は SGX 仮想サーバーで使用できるため、PCCS サービスから調達する必要はありません。 この証明書は /root/.dcap-qcnl/* にあります。 非 root ユーザーが DCAP を使用するには、 /root/.dcap-qcnl/* ディレクトリを自分の $HOME ディレクトリにコピーする必要があります。

Intelの指定に従ってDCAPとQCNLパッケージをインストールします。

DCAPバージョン 1.19 以降をインストールしてください。以前のバージョンではローカルにキャッシュされた証明書をサポートしていません。

ローカルにキャッシュされたPCK証明書を使用するようにAESMを再設定し、以下の例に示すようにサービスを再起動する。

  1. 設定 /etc/sgx_default_qcnl.conf

     "use_secure_cert": false
 "local_cache_only": true

  2. 再始動 aesmd

     systemctl restart aesmd

TDXの認証の有効化

TDXの認証を有効にするには、インテルの「 Trust Domain at Runtime 」の手順に従ってください。

TDXは、 vsock インタフェースをサポートしていません。 見積もり作成には、 tdvmcal を使用する必要があります。

インテルのSGXおよびTDXドキュメント

SGXおよびTDXに関する詳細情報は、以下のリンクを参照してください。

SGX

ティーディーエックス