Zum Hauptinhalt springen
Version: Weekly Build

Voraussetzungen

Confidential Compute ist nicht Teil jedes Codesphere-Setups. Diese Seite listet auf, was vorhanden sein muss, bevor confidential Services betrieben werden können, und welche Einschränkungen dafür gelten.

Verfügbarkeit von Confidential Compute​

Confidential Compute ist ein zusätzliches Modul. Es wird bei der Einrichtung des Vertragsverhältnisses mit Codesphere gebucht. Codesphere läuft als mehrere Instanzen, und nur Instanzen mit diesem Modul können confidential Services betreiben.

Confidential Services benötigen CPUs, die Trusted Execution Environments (TEEs) bereitstellen, wie zum Beispiel AMD SEV-SNP oder Intel TDX. Die Codesphere-Instanz muss auf einem der folgenden Systeme laufen:

  • Bare Metal mit aktuellen CPUs, die diese Funktionen unterstützen
  • Ein Cloud-Anbieter, dessen Infrastruktur confidential VMs anbietet

Die zugrunde liegende Hardware kann sich zwischen den Instanzen unterscheiden. Der Codesphere-Administrator kann Auskunft darüber geben, welche Hardware die jeweilige Instanz verwendet und ob das Confidential-Compute-Modul in der Codesphere-Instanz aktiv ist.

Trustee-Service​

Jeder confidential Service durchläuft vor dem Start eine Attestation. Dafür wird ein Trustee-Service benötigt, der:

  • außerhalb der Codesphere-Instanz läuft, die die confidential Services hostet
  • von der Codesphere-Instanz über TLS erreichbar ist
  • die Measurements der Codesphere-Guest-Images, die die Instanz betreibt, zulässt

Mehr dazu unter Der Trustee-Service

Services ohne das gemeinsam genutzte Netzwerk-Dateisystem​

Confidential Services mounten nicht das gemeinsam genutzte NFS des Workspace. Dessen Inhalte sind nicht Teil der Attestation und könnten vom Betreiber verändert werden. Die Services müssen aus Images laufen, die alles Benötigte bereits enthalten. Verwende eigene Base-Images oder exportiere den Workspace mit der Funktion Static Builds.

Einschränkungen​

Einige Funktionen stehen im Confidential-Modus nicht zur Verfügung, und confidential Services benötigen mehr Ressourcen als reguläre Services. Vor der Planung eines Confidential-Setups sollten die Einschränkungen und Besonderheiten geprüft werden.