コンフィデンシャル コンピューティング デプロイ モデル
Azure Confidential Computing では、複数のデプロイ モデルがサポートされています。 これらの異なるモデルでは、最新のクラウド コンピューティングに対するさまざまな顧客セキュリティ要件をサポートしています。
サービスとしてのインフラストラクチャ (IaaS)
サービスとしてのインフラストラクチャ (IaaS) デプロイ モデルでは、AMD SEV-SNP または Intel TDX ベースの機密 VM (CVM) による VM の分離か、Intel SGX のアプリケーション エンクレーブによるアプリの分離を使用できます。 組織における実際の信頼境界や、デプロイしやすさのニーズに応じて、これらの選択肢から異なるデプロイ モデルを採用できます。
サービスとしてのインフラストラクチャ (IaaS) は、サーバー、ストレージ、ネットワーク、仮想化などのスケーラブルなコンピューティング リソースへのアクセスをオンデマンドで許可するクラウド コンピューティング デプロイ モデルです。 IaaS デプロイ モデルを採用することで、組織は独自のインフラストラクチャを調達、構成、管理するプロセスをやめ、使用するリソースに対してのみ費用を払うようにすることができます。 これにより、コスト効率の高いソリューションとなっています。
クラウド コンピューティングのドメインでは、IaaS デプロイ モデルを使用することで、企業は Azure などのクラウド サービス プロバイダーから個々のサービスを借りられます。 Azure は、インフラストラクチャの管理と保守を担い、組織がソフトウェアのインストール、構成、管理に専念できるようにします。 Azure には、包括的な課金管理、ログ記録、監視、ストレージの回復性、セキュリティなどの補助的なサービスも用意されています。
スケーラビリティは、クラウド コンピューティングにおける IaaS デプロイ モデルのもう 1 つの重要なメリットです。 企業は、要件に応じてリソースを迅速にスケールアップしたりスケールダウンしたりできます。 この柔軟性により、開発ライフサイクルが迅速化され、新製品やアイデアの市場投入までの時間が短縮されます。 さらに、IaaS デプロイ モデルでは、単一障害点を排除することで信頼性を確保しています。 ハードウェア コンポーネントの障害が発生した場合でも、サービスへのアクセスは維持されます。
結論として、IaaS デプロイ モデルと Azure Confidential Computing を組み合わせることで、コスト削減、効率性の向上、イノベーションの機会、信頼性、高いスケーラビリティ、そしてそれらがすべて機密性の高いデータを保護するよう特別に設計された堅牢で包括的なセキュリティ ソリューションによって保護される、というメリットが得られます。
サービスとしてのプラットフォーム (PaaS)
サービスとしてのプラットフォーム (PaaS) では、コンフィデンシャル コンピューティングで機密コンテナーを使用できます。 このオファリングには、Azure Kubernetes Service (AKS) のエンクレーブ対応コンテナーが含まれています。
適切なデプロイ モデルの選択は、多くの要因によって異なります。 レガシ アプリケーション、オペレーティング システム機能、オンプレミス ネットワークからの移行の存在を考慮する必要がある場合があります。
VM を使用することには依然として多くの理由がありますが、コンテナーは最新の IT の多くのソフトウェア環境に対して柔軟性を高めます。
コンテナーでは、次のアプリをサポートできます。
- 複数のクラウドで実行します。
- マイクロサービスに接続します。
- さまざまなプログラミング言語とフレームワークを使用します。
- 継続的インテグレーションと継続的配置 (CI/CD) の実装を含む、自動化と Azure Pipeline を使用します。
コンテナーでは、Azure クラウドの弾力性を適用することで、アプリケーションの移植性が向上し、リソースの使用状況が向上します。
通常、次の場合は、機密 VM にソリューションをデプロイできます。
- 変更またはコンテナー化できないレガシ アプリケーションがあります。 ただし、データの処理中に、メモリ内のデータを保護する必要があります。
- 1 つのインフラストラクチャで異なるオペレーティング システム (OS) を必要とする複数のアプリケーションを実行しています。
- すべての OS リソースを含め、コンピューティング環境全体をエミュレートする必要があります。
- 既存の VM をオンプレミスから Azure に移行しています。
次の場合は、機密コンテナー ベースのアプローチを選択できます。
- コストとリソースの割り当てについて不安があります。 ただし、独自のアプリとデータセットをデプロイするには、よりアジャイルなプラットフォームが必要です。
- 最新のクラウドネイティブ ソリューションを構築しています。 また、ソース コードとデプロイ プロセスのフル コントロールがあります。
- マルチクラウドのサポートが必要です。
どちらのオプションも、Azure サービスの最高のセキュリティ レベルが提供されます。
次のように、機密 VM と機密コンテナーのセキュリティ対策にはいくつかの違いがあります。
機密 VM
機密 VM は、VM 全体をハードウェアで暗号化し、ホスト管理者による不正アクセスから保護するしくみです。 このレベルには、通常、クラウド サービス プロバイダー (CSP) が管理するハイパーバイザーが含まれます。 この種類の機密 VM を使用して、VM 内で実行されるデータとコードに CSP がアクセスすることを防ぐことができます。
VM 管理者、または VM 内で実行されているその他のアプリやサービスは、保護された境界を超えて動作します。 これらのユーザーとサービスは、VM 内のデータとコードにアクセスできます。
アプリケーション エンクレーブ
アプリケーション エンクレーブは、ハードウェア ベースの暗号化によって VM 内のメモリ領域を保護するしくみです。 アプリケーション エンクレーブでは、セキュリティ境界の制限が機密 VM よりも厳しくなります。 Intel SGX の場合、セキュリティ境界は VM 内のメモリの一部に適用されます。 VM 内で実行されているゲスト管理、アプリ、サービスは、エンクレーブ内で実行されているデータやコードにアクセスできません。
Intel SGX は、使用中のデータを分離してアプリケーションのセキュリティを強化する機能です。 選択したコードやデータについて、安全なエンクレーブを作成して変更を防ぎ、許可されたコードによるアクセスだけを認めます。 エンクレーブの外部にあるエンティティ (OS やハイパーバイザーなど) は、たとえ高レベルの権限を持っていても、標準的な呼び出しを使用してエンクレーブ メモリにアクセスすることはできません。 エンクレーブ関数にアクセスするには、複数のセキュリティ チェックを含む特定の Intel SGX CPU 命令を使用する必要があります。
