IBM Cloud Docs
適用於 x86 Virtual Servers for VPC運算

適用於 x86 Virtual Servers for VPC運算

選取可用性

機密運算是一種新技術，可提供技術保證，確保工作負載和資料是機密的，並受到包括雲端服務供應商 (CSP) 在內的所有人的保護。

在達拉斯（美國南部）、華盛頓特區（美國東部）和法蘭克福（歐洲中部）地區提供機密運算簡介。 使用 Intel SGX 進行 VPC 的機密運算地區為達拉斯 (美國南部)、華盛頓特區 (美國東部) 和法蘭克福 (歐洲北部)。 使用 Intel TDX for VPC 的機密運算僅適用於華盛頓特區 (美國東部) 地區。 如果要使用機密運算設定檔和 TDX 建立虛擬伺服器實例，則只能在華盛頓特區 (美國東部) 區域建立該虛擬伺服器實例。 您無法在任何其他區域建立 TDX 虛擬伺服器實例，包括達拉斯 (us-south) 和法蘭克福 (eu-de)。 如需詳細資訊，請參閱 機密運算已知問題。 機密計算僅適用於選定的設定檔。 如需詳細資訊，請參閱 機密運算配置文件。

使用 Intel Trusted Domain Extension (TDX) 進行保密運算

採用 Intel Trust Domain Extensions(TDX) 的機密運算可透過提供 CPU 增強功能，讓韌體和硬體利用這些增強功能來提供機密性和完整性，從而為虛擬機器提供機密性。 虛擬機器內的一切都屬於機密，無法被竊聽。 此外，虛擬機器內的一切都受到完整性保護，無法篡改。 有關 TDX 的詳細資訊，請參閱 Intel Trust Domain Extensions。

使用 Intel Software Guard Extensions (SGX) 進行機密運算

使用 Intel ® Software Guard Extensions (SGX) 的機密運算使用隔離的記憶體區域 (稱為加密區域)，透過硬體式伺服器安全來保護您的資料。 此硬體式計算可協助保護您的資料免於揭露或修改。 這表示當機密資料位於虛擬伺服器實例記憶體時，會容許應用程式在專用記憶體空間中執行，以加密機密資料。 要使用 SGX，您必須在支援 SGX 的工作節點上安裝平台軟體。 然後，將應用程式設計成在 SGX 環境中執行。 當您的機密資料位於已加密區域內時，您的資料會分割成受信任及不受信任的部分。 當可信賴的部分用於加密的 enclave 時，不論存取權限如何，CPU 都會拒絕所有其他對 enclave 的存取。 資料受到內部和外部威脅的防護，無法被竊取或破壞。

當您搭配使用機密運算與 SGX 時，您的資料會在整個運算生命週期中受到保護。 也就是說，只有授權的程式碼才能存取您的資料，其他任何人或事物，包括作業系統和 IBM Cloud® 都無法看到您的資料。

SGX 和 TDX 是可信賴的執行環境 (TEE)

SGX 和 TDX 都使用可信的執行環境 (TEE)。 TEE 是主要處理器的安全區域，可為授信資料及應用程式提供更高層次的資料安全。

TEE 會在專用於處理及儲存機密資料的裝置上，設定主要處理器的隔離安全區域。 安全的環境可防止未經授權的存取 - 即使系統軟體受到攻擊。

因此，所有 Intel SGX 和 TDx 都是 TEE，但並非所有 TEE 都是 Intel SGX 或 TDX。

認證

當您開發保密運算 SGX 應用程式時，您必須設計它，以便可以分割需要保密的資訊。 在執行時，分割的資訊會保存在加密的 enclaves 中。 機密資訊會被載入加密的機密區域，只有在加密的機密區域透過稱為認證的程序證明其真實性之後，機密資訊才會被載入加密的機密區域。 如需有關 Intel SGX 和 TDX 驗證的詳細資訊，請參閱 Intel SGX 或 TDX 驗證和資料中心驗證原始碼(DCAP)。

SGX 和 TDX 用例的機密運算

以下是使用 SGX 和 TDX 進行機密運算的一些用例。

  • 「機密運算」環境內的 工作量及應用程式的機密性和隱私權 可確保資料隱私權和安全應用程式一律受到保護。

  • 機密 AI 和分析 可在安全區域內啟用資料和商業分析應用程式、機器學習模型及應用程式。 包括可協助取得資料洞察的 SMPC 應用程式。

  • 安全多方運算 可啟用分散式 SMPC，以協助確保參與者資料及見解即使在其直接控制之外計算時也受到保護。

  • 數位資產 是數位保管解決方案的可靠平台，用於在高度安全的錢包中儲存及傳送高價值數位資產，大規模可靠。

與 SGX 和 TDX 相容的設定檔

下列設定檔支援 SGX。

  • 所有平衡 bx3dc 設定檔
  • 所有運算 cx3dc 設定檔

下列設定檔支援 TDX。

  • 所有低於 160GB 記憶體的平衡型 bx3dc 設定檔
  • 所有低於 160GB 記憶體的 Compute cx3dc 設定檔

對於這些 Gen3 設定檔，預設會啟用 secure-boot，而且無法停用。

SGX 和 TDX 設定檔的啟動時間可能稍長，大約在 180-240 秒之間，視設定檔記憶體大小而定。

有關設定檔的詳細資訊，請參閱 x86-64 實例設定檔。

限制

如果要使用 SGX 或 TDX，請記住下列限制。

  • 僅適用於第三代藍寶石 Rapids 型虛擬伺服器。

  • SGX 無法防範側邊通道攻擊。

  • 只有下列影像支援 SGX 和 TDX。 請記住，核心版本 5.11 及更早的影像不支援 SGX，核心版本 6.5 及更早的影像不支援 TDX。

    • SGX
      • Red Hat 8.6, 8.8, 9.0, 9.2
      • Ubuntu 20.04, 22.04
      • CentOS 串流 8、9
      • 落基 Linux 8.8，9.2
      • SLES 15 SP4、SP5
    • TDX
      • Ubuntu 24.04
      • Red Hat 9.4
      • CentOS 溪流 9
      • Rocky Linux 9.2、9.4
      • SLES 15.6

  • TDX 限制

    • 強制重新啟動已啟用 TDX 的虛擬伺服器時，虛擬伺服器會關閉。 然後，您必須重新啟動此虛擬伺服器。
    • 不支援 VNC-console。
    • TDX 不支援報價產生的 vsock 介面。 對於報價產生，您必須使用 tdvmcal。