Einschränkungen und Besonderheiten

hinweis

Nicht jede Codesphere-Instanz bietet Confidential Compute an. Frage den Codesphere-Administrator, ob Confidential Compute auf der jeweiligen Instanz verfügbar ist. Siehe Voraussetzungen.

Confidential Services laufen auf derselben Plattform wie reguläre Services, verhalten sich aber in einigen Punkten anders. Die meisten Unterschiede ergeben sich aus einer Grundregel: Nichts außerhalb der TEE darf sehen oder verändern, was innerhalb geschieht.

Performance und Ressourcen-Overhead

• Langsamerer Start. Jeder Confidential Service startet eine Micro-VM und durchläuft eine Attestation, bevor der Service startet. Das wirkt sich auf den ersten Start, Neustarts, Skalierung und das Aufwachen aus dem inaktiven Zustand aus.
• Speicher-Overhead. Jede Micro-VM benötigt Speicher für ihren eigenen Guest-Kernel. Plane daher mehr Speicher pro Service ein als bei regulären Services.
• CPU- und I/O-Overhead. Speicherverschlüsselung, LUKS und Mesh-Verschlüsselung erzeugen zusätzlichen Overhead. Die Auswirkungen hängen vom jeweiligen Service ab – miss sie daher, bevor du die Produktionsumgebung dimensionierst.

Build- und Runtime-Verhalten

Die prepare-Stage und alle Downloads beim Start werden nicht von der Attestation erfasst. Dateien, die nach dem Start des Services geändert werden, sind ebenfalls nicht abgedeckt. Erstelle vollständige Images im Voraus, wie in den Empfehlungen für den Produktivbetrieb beschrieben.

Netzwerk

• Der gesamte Datenverkehr zwischen Confidential Services läuft über den Service Mesh.
• Datenverkehr zu regulären Services oder externen Endpunkten verlässt die Vertrauensgrenze.

Verfügbarkeit von Funktionen

Funktion	Verfügbar im Confidential-Modus
Cloud-IDE und Terminal	Nein
SSH und lokale IDE	Nein
Service Logs	Nein
Deployment-Status	Ja
Log-Browser	Nein
Request-Logs	Nein
Monitoring	Ja
Replicas und Skalierung	Ja
Deaktivierung bei Nichtnutzung	Ja
Benutzerdefinierte Domains	Ja
Privates Netzwerk (VPN)	Nein
Backups von Managed Services	Nein