IBM Cloud Docs
适用于 VPC 的 x86Virtual Servers for VPC的机密计算

适用于 VPC 的 x86Virtual Servers for VPC的机密计算

选择可用性

保密计算是一种新技术，可从技术上保证工作负载和数据的机密性，并保护其不受包括云服务提供商（CSP）在内的任何人的影响。

达拉斯（美国南部）、华盛顿特区（美国东部）和法兰克福（欧洲东部）地区提供保密计算简介。 在达拉斯（美国南部）、华盛顿特区（美国东部）和法兰克福（欧洲东部）使用英特尔 SGX 进行 VPC 的机密计算。 仅限华盛顿特区（美国东部）地区提供基于英特尔TDX的VPC保密计算。 如果要创建具有保密计算配置文件和 TDX 的虚拟服务器实例，则只能在华盛顿特区（美国东部）区域创建该虚拟服务器实例。 您无法在任何其他地区（包括达拉斯（美国南部）和法兰克福（欧洲中部））使用 TDX 创建虚拟服务器实例。 有关详细信息，请参阅 机密计算已知问题。 机密计算仅适用于部分配置文件。 更多信息，请参阅 机密计算配置文件。

使用英特尔可信域扩展（TDX）进行保密计算

英特尔信任域扩展（TDX）的保密计算通过提供CPU增强功能为虚拟机提供保密性，固件和硬件利用这些增强功能来提供保密性和完整性。 虚拟机中的所有内容都是保密的，不会被窃听。 此外，虚拟机中的所有内容都受到完整性保护，无法被篡改。 有关TDX的更多信息，请参阅 英特尔信任域扩展。

使用英特尔软件保护扩展（SGX）进行保密计算

使用英特尔 ® 软件保护扩展 (SGX) 的保密计算通过使用称为加密飞地的隔离内存区域，通过基于硬件的服务器安全性来保护您的数据。 这种基于硬件的计算有助于防止数据泄露或修改。 这意味着当敏感数据位于虚拟服务器实例内存中时，将通过允许应用程序在专用内存空间中运行来对其进行加密。 要使用SGX，您必须在支持SGX的工作节点上安装平台软件。 然后，设计应用程序以在 SGX 环境中运行。 当敏感数据位于已加密的封套内时，您的数据将拆分为可信和不可信部分。 加密区域使用可信部件，而CPU则拒绝所有其他访问，无论访问权限如何。 数据受到保护，免受内部和外部威胁，不会被窃取或破坏。

当您将保密计算与 SGX 配合使用时，您的数据将在整个计算生命周期中受到保护。 这意味着只有授权代码才能访问您的数据，包括操作系统和 IBM Cloud® 在内的任何人和任何其他事物都无法看到这些数据。

SGX和TDX是可信执行环境（TEE）

SGX和TDX都使用可信执行环境（TEE）。 TEE 是主处理器的安全区域，为可信数据和应用程序提供更高级别的数据安全性。

TEE 在专用于处理和存储敏感数据的设备上设置主处理器的隔离，安全区域。 即使系统软件遭到破坏，安全环境也能免受未经授权的访问。

因此，所有英特尔SGX和TDX都是TEE，但并非所有TEE都是英特尔SGX或TDX。

认证

当您开发一个保密计算SGX应用程序时，必须对它进行设计，以便对需要保密的信息进行分段。 在运行时，分段信息被保存在加密的飞地中。 只有在加密区域通过验证过程证明其真实性后，机密信息才会被加载到加密区域中。 有关英特尔SGX和TDX认证的更多信息，请参阅 英特尔SGX或TDX认证以及数据中心认证原语（DCAP ）。

SGX和TDX使用案例的保密计算

以下是SGX和TDX在保密计算方面的一些应用案例。

  • “保密计算”环境中的 工作负载和应用程序的机密性和隐私 确保数据隐私和安全应用程序始终受到保护。

  • 保密 AI 和分析 支持数据和业务分析应用程序，机器学习模型以及安全相关可调度单元组中的应用程序。 包含 SMPC 应用程序，这些应用程序还有助于获取数据洞察。

  • 安全多方计算 支持分布式 SMPC，这有助于确保参与者数据和洞察即使在其直接控制之外进行计算时也受到保护。

  • 数字资产 是数字保管解决方案的可信平台，用于在高度安全的钱包中存储和传输高价值的数字资产，大规模可靠。

SGX和TDX兼容配置文件

以下概要文件支持 SGX。

  • 所有均衡的 bx3dc 概要文件
  • 所有计算 cx3dc 概要文件

以下配置支持TDX。

  • 所有小于 160GB 内存的 bx3dc 配置文件
  • 所有 cx3dc 配置文件，内存小于 160GB

对于这些 Gen3 配置文件，安全启动功能默认启用且无法禁用。

SGX和TDX配置文件的启动时间可能会稍长，大约在180-240秒之间，具体取决于配置文件内存大小。

有关配置文件的更多信息，请参阅 x86-64 实例配置文件。

限制

如果您想使用SGX或TDX，请牢记以下限制。

  • 仅在基于 Sapphire Rapids 的第三代虚拟服务器上可用。

  • SGX 无法防止侧通道攻击。

  • 只有以下图片支持SGX和TDX。 请注意，内核版本为 5.11 及更早版本的镜像不支持SGX，内核版本为 6.5 及更早版本的镜像不支持TDX。

    • SGX
      • Red Hat 8.6, 8.8, 9.0, 9.2
      • Ubuntu 20.04, 22.04
      • CentOS 流 8，9
      • Ro岩 Linux 8.8，9.2
      • SLES 15 SP4，SP5
    • TDX
      • Ubuntu 24.04
      • Red Hat 9.4
      • CentOS
      • Rocky Linux 9.2、9.4
      • 15.6

  • TDX限制

    • 当您强制重启启用了TDX的虚拟服务器时，该虚拟服务器将关闭。 然后，您必须重新启动这个虚拟服务器。
    • 不支持VNC控制台。
    • TDX 不支持 vsock 报价生成界面。 要生成报价，必须使用 tdvmcal。