Empfehlungen für den Produktivbetrieb

hinweis

Nicht jede Codesphere-Instanz bietet Confidential Compute an. Frage den Codesphere-Administrator, ob Confidential Compute auf der jeweiligen Instanz verfügbar ist. Siehe Voraussetzungen.

Attestation beweist, dass ein bekanntes Image auf echter Hardware läuft. Es beweist nicht, dass das Image sicher ist. Die Garantien von Confidential Compute sind nur so stark wie die Kontrolle darüber, was in das Image einfließt.

Statische Builds verwenden

In einer regulären Codesphere-Landschaft installiert die prepare-Stage häufig Abhängigkeiten und baut die Anwendung in das gemeinsam genutzte Netzwerk-Dateisystem. Dies steht im Confidential-Compute-Kontext nicht zur Verfügung, da die Inhalte des NFS nicht Teil des attestierten Workflows sind und kompromittiert werden können. Daher wird dringend empfohlen, Codesphere's Static-Build-Funktion zu nutzen, um einen Workspace in feste ausführbare Artefakte zu exportieren. Diese Artefakte können anschließend attestiert und vertraulich ausgeführt werden.

Signierte Images verwenden

Signiere jedes Image, das in der Landschaft verwendet wird, und lasse den Trustee-Provider den öffentlichen Schlüssel zur Workload-Policy hinzufügen. Der Trustee-Dienst genehmigt dann nur Images, die mit dem eigenen Schlüssel signiert sind.

Messwerte und Versionen festlegen

• Images über den Digest referenzieren, nicht über den Tag. Tags können auf ein anderes Image verschoben werden. Digests nicht.
• Policy-Updates zum Bestandteil des Release-Prozesses machen. Erst bauen, dann signieren, die Workload-Policy aktualisieren und anschließend deployen.
• Alte Einträge entfernen. Lösche Digests und Messwerte, die nicht mehr verwendet werden, damit alte Images mit bekannten Schwachstellen nicht erneut gestartet werden können.

Auswahl, wer den Trustee-Dienst betreibt

Der Trustee-Dienst ist die Vertrauensbasis (Root of Trust) für die eigenen Confidential Services. Wer ihn betreibt, kann Services genehmigen und die freigegebenen Geheimnisse einsehen. Weder der Infrastrukturbetreiber noch Codesphere können dies tun. Für Produktivservices mit strengen Anforderungen empfiehlt es sich, den Trustee-Dienst selbst zu betreiben oder einen Provider zu wählen, dem die eigenen Geheimnisse anvertraut werden können.