LinuxONE を使用した機密コンピューティング

Hyper Protect Virtual Servers (VPC 用)

VPC 用の Hyper Protect Virtual Servers は、 IBM Secure Execution for Linux を利用して、各インスタンスの周囲に境界を提供し、以下の利点を提供します。

• アベイラビリティーの選択

  Hyper Protect Virtual Server インスタンスのインスタンスプロファイルは、米国南部 (ダラス)、米国東部 (ワシントン DC)、カナダ (トロント)、ブラジル (サンパウロ)、英国 (ロンドン)、ドイツ (フランクフルト)、スペイン (マドリード)、および日本 (東京) の各リージョンで利用できます。

• 内部および外部の脅威から保護するためのセキュアな実行境界

  Hyper Protect Virtual Servers VPCは、 IBM Cloud 管理者を含む不正なユーザーがアプリケーションにアクセスできないことを技術的に保証します。 ワークロードは、インスタンス・レベルの個別のセキュア境界によってロックされます。

• 複数パーティーの契約およびデプロイメントの認証

  ワークロードの開発から配備まで、ゼロトラストの原則を適用する。 複数のペルソナとリーガル・エンティティーがコラボレーションするため、職務とアクセス権限を分離することが不可欠です。 VPC 用の Hyper Protect Virtual Servers は、新しく導入された 暗号化契約 の概念に基づいています。 これにより、各ペルソナがその貢献を提供し、他のペルソナがこのデータや知的財産にアクセスできないことを暗号化によって保証することができます。 この配置は、認証記録 を通して監査人ペルソナによって検証することができ、このペルソナは署名および暗号化されて、監査人だけがこのレベルの洞察力を持つことを保証します。

• マルウェア保護

  Hyper Protect Virtual Servers for VPC では、Secure Build を使用して検証プロセスを設定し、許可されたコードのみがアプリケーションで実行されていることを確認します。 明示的な 要約または署名済み によってデプロイ時に検証されたコンテナバージョンのみがデプロイされ、 認証付きプライベート Container Registry からのみプルできます。

• 独自のOCIイメージを持ち込み、マネージド・コンテナ・ランタイム・サービスを利用する

  オープン・コンテナー・イニシアチブ(OCI) イメージを使用して、機密コンピューティング・ソリューションの利点を活用し、より高いレベルの保護を実現します。 署名された契約 により、お客様の作業負荷と環境の特定の組み合わせのみが展開されることを確認してください。

• ネットワーク・セキュリティーを強化するために仮想プライベート・クラウド (VPC) インフラストラクチャー上に構築

  さまざまなプロファイル・サイズから選択し、必要に応じて拡張して、コンテナー化されたアプリケーションと従量課金 (PAYG) を 1 時間単位で保護します。

  既存または共通の ネットワーク セキュリティ グループ と ログ インフラストラクチャ を活用します。

VPC の Hyper Protect Virtual Servers の使用を開始するには、以下の手順を実行します。 最も重要なことは、インスタンスを作成するために有効な 契約 が必要であるということです。

開始前に

VPC インスタンス用の Hyper Protect Virtual Servers を作成する前に、以下の情報を読み、必要な準備を完了することが重要です。

• 計画

  プロファイルやオペレーティングシステムのイメージなどの側面を考慮してください。 ストック・イメージを使用して Hyper Protect Virtual Servers for VPC インスタンスを作成するには、 IBM Hyper Protect Container Runtime イメージ を選択します。

• Hyper Protect Virtual Servers を使用して独自のイメージをビルドすることを選択します

  ストック・イメージを使用するほかに、 Hyper Protect Virtual Servers を使用して独自のイメージを安全にビルドし、そのイメージを使用して VPC インスタンス用の Hyper Protect Virtual Servers をプロビジョンすることもできます。 詳細については、 Confidential Computing Container Secure Buildを 参照。

• 契約の準備

  インスタンスを作成するときは、 「ユーザー・データ」 フィールドで 有効な契約 を渡す必要があります。 IBM Hyper Protect Container Runtime イメージは、契約の暗号化解除 (暗号化されている場合)、契約スキーマの検証、契約署名の確認、ディスク装置を暗号化するためのパスフレーズの作成、および契約で指定されているコンテナーの起動を行う、さまざまなコンポーネントまたはサービスで構成されています。

  契約が渡されない場合、インスタンスは最終的にシャットダウンします。

• ロギングのセットアップ

  VPC インスタンスの Hyper Protect Virtual Servers を起動するには、まず 契約にロギング構成を追加して、ロギングをセットアップする必要があります。 デプロイメント後、2 つのタイプのロギングを使用して、VPC インスタンス・ログの Hyper Protect Virtual Servers を表示できます。

  • セットアップしたロギング・サービス

    VPC の Hyper Protect Virtual Servers のロギング を参照してください。

    ロギングが正常に構成されていない場合、インスタンスは自動的にシャットダウンします。

  • シリアル・コンソール

    オペレーティング・システムを選択してデプロイメントに進むと、デプロイメントの状況を表示できます。また、シリアル・コンソールでログを表示して、インスタンスが VPC インスタンスの Hyper Protect Virtual Servers であるかどうかを確認することもできます。 このログの情報を使用して、プロビジョニングの問題をトラブルシューティングすることもできます。 詳しくは、VNC またはシリアル・コンソールを使用した仮想サーバー・インスタンスへのアクセスを参照してください。

• データ・ボリューム

  このインスタンスは複数のデータボリュームをサポートしており、 デフォルトでシードまたはパスフレーズを指定して暗号化さ れるため、ワークロードのデータを確実に保護できます。 コンテナからのデータがデータ・ボリュームに格納されるように、インスタンス作成時に必要なデータ・ボリュームをすべてインスタンスにアタッチすることを推奨する。 また、データボリュームのスナップショットを取っておくと、将来何らかの問題に直面したときに元に戻せるのでおすすめです。

  HPCR イメージ・バージョン ibm-hyper-protect-container-runtime-1-0-s390x-9 以降、VPC インスタンス用の新規 Hyper Protect Virtual Servers では、データ・ボリュームは 2 つの部分に分割されます。 最初のパーティション (100Mib) は内部メタデータ用に予約されています。2 番目のパーティションは、ワークロードのデータ・ボリュームとして残ります。 新規ボリュームのみがパーティション化され、古いバージョンの HPCR イメージではパーティション化されたボリュームを使用できません。 既存の暗号化ボリュームを使用したプロビジョニングも機能します。 違いは、既存のボリュームがパーティション化されないことです。このボリュームを使用して古いイメージに戻ることもできます。

  Hyper Protect Virtual Servers for VPC インスタンスにデータ ボリュームをアタッチして作成した場合、そのデータ ボリュームをデタッチすると、インスタンス上で実行中のワークロードが失敗します。 データ・ボリュームを切り離さないことをお勧めします。

• ポートのセキュリティー・グループ

  コンテナーまたはワークロードに関連付けられたポートは、アクセス可能にするために、セキュリティー・グループを介して明示的に開く必要があります。 そのため、コンテナーに関連付けられたポートに基づいてセキュリティー・グループを作成し、VPC インスタンスの Hyper Protect Virtual Servers で使用される対応する VPC にそのセキュリティー・グループを接続する必要があります。

VPC インスタンス用の Hyper Protect Virtual Servers の作成

計画が完了し、契約の準備ができたら、VPC インスタンス用の Hyper Protect Virtual Servers を作成できます。

• UI を使用してインスタンスを作成する。 プロビジョニング・ページで、 IBM Z、 LinuxONE for 「アーキテクチャー」 を選択し、 「機密コンピューティング」 の下の 「OS および Secure Execution で保護されたプロファイルを使用してワークロードを実行する」 トグルをオンにします。
• CLI を使用したインスタンスの作成

インスタンスに問題がある場合は、 トラブルシューティング資料 または サポートの利用 を参照してください。

Terraform を使用して、VPC の Hyper Protect Virtual Servers での操作を自動化できます。

Hyper Protect Virtual Serversは、プライベートのみのネットワーク構成でVPCインスタンスに使用できます。 Container Registry や IBM Log Analysis など、他のサービスのプライベート エンドポイントに接続できます。 前提条件として、仮想サーバーインスタンスに接続されたDNSサーバーが必要です。 追加の設定を行う必要はありません。

IBM Cloud VPC スナップショットを使用して VPC インスタンスの Hyper Protect Virtual Servers をリカバリーまたはアップグレードしています。

VPC の Hyper Protect Virtual Servers が何らかの理由で失敗した場合は、新規インスタンスを作成し、失敗したインスタンスに接続されていたデータ・ボリュームを (新規インスタンスの作成から 15 分以内に) 接続できます。 インスタンスの作成に最初に使用したものと同じ契約を使用するようにしてください。

あるいは、失敗したインスタンスに接続されたデータ・ボリュームの スナップショットを作成 します。 次に、新しいインスタンスを作成します。 データ・ボリュームを接続する場合は、 「スナップショットからボリュームをリストアする」 を選択し、ボリュームのリストア元として以前に取得したスナップショットを選択します。 インスタンスの作成に最初に使用したものと同じ契約を使用するようにしてください。

新しい Hyper Protect Container Runtime イメージを IBM が使用可能にするたびに使用する場合は、スナップショットを使用する上記のいずれかの手順に従うことができます。 元のインスタンスの作成に使用したものと同じ契約を使用する必要があります。