Create a TDX confidential VM node pool in an ACK cluster - Container Service for Kubernetes

Los clústeres de ACK admiten node pools de máquinas virtuales confidenciales TDX basados en instancias ECS con Intel® Trusted Domain Extension (Intel® TDX). Una vez creado el node pool, despliegue sus aplicaciones existentes sin modificar el código para mejorar la seguridad. En este tema se explica cómo crear un node pool de máquinas virtuales confidenciales TDX y desplegar una aplicación de ejemplo en su clúster.

Cómo funciona

Intel® TDX proporciona aislamiento y cifrado asistidos por hardware para las instancias ECS. De esta forma, protege los datos en tiempo de ejecución, como los registros de CPU, la memoria y las inyecciones de interrupciones, contra accesos no autorizados.

Los node pools de máquinas virtuales confidenciales TDX se integran con las funciones estándar de escalado y gestión de ACK. Las aplicaciones existentes pueden migrarse a un node pool habilitado para TDX sin necesidad de modificar el código.

Consulte Intel® Trust Domain Extensions (Intel® TDX).

Casos de uso

Los node pools de máquinas virtuales confidenciales TDX son adecuados para cargas de trabajo que requieren aislamiento de datos aplicado por hardware:

Control de riesgos financieros: proteja el procesamiento de transacciones y los datos de puntuación de riesgos durante la ejecución.
Privacidad de datos médicos: aísle la información de los pacientes durante el análisis y la inference.
Inference y ajuste fino de contenido generado por IA (AIGC) y modelos de lenguaje extensos (LLM): proteja los pesos del modelo y los datos de entrenamiento mientras están en uso.
Bases de datos confidenciales: aplique aislamiento a nivel de hardware para los procesos de la base de datos.
Aplicaciones de big data: procese conjuntos de datos sensibles con garantías respaldadas por hardware.

Intel® TDX e Intel® Advanced Matrix Extensions (AMX) proporcionan seguridad integral para las cargas de trabajo de inference de modelos.

Configuraciones compatibles

A continuación se describen las restricciones aplicables a los node pools de máquinas virtuales confidenciales TDX:

Configuración	Valor compatible
Región	Solo China (Beijing)
Zona	Zone I
Tipo de instancia	ecs.g8i.xlarge o superior
Sistema operativo	Alibaba Cloud Linux 3.2104 LTS 64-bit
Tipo de imagen ECS	Confidential VM
Auto Scaling	Deshabilitado de forma predeterminada

Consulte Known issues and functionality limits.

Requisitos previos

Antes de empezar, compruebe que cuenta con lo siguiente:

Un clúster ACK Pro en la región China (Beijing). Consulte Create an ACK managed cluster.
Acceso a las consolas de ACK y ECS.

Paso 1: Crear un node pool

Inicie sesión en la consola de ACK. En el panel de navegación izquierdo, haga clic en Clusters.
En la página Clusters, haga clic en el nombre del clúster. En el panel de navegación izquierdo, elija Nodes Node Pools.

En la esquina superior derecha, haga clic en Create Node Pool. Establezca los siguientes parámetros y haga clic en Confirm Order. En Advanced Options (Optional), agregue una etiqueta de nodo para la programación de pods. Todos los parámetros se describen en Create and manage a node pool.

Parámetro	Configuración
vSwitch	Seleccione un vSwitch en Zone I
Auto Scaling	Disabled (predeterminado)
Instance Type	g8i.xlarge o superior
Expected Nodes	0 (predeterminado)
Operating System	Alibaba Cloud Linux 3.2104 LTS 64-bit

Clave de etiqueta	Valor de etiqueta
`nodepool-label`	`tdx-vm-pool`

Paso 2: Crear una instancia ECS habilitada para TDX

La creación de una instancia ECS habilitada para TDX sigue el proceso estándar (Create an instance on the Custom Launch tab) con dos diferencias en los parámetros:

Inicie sesión en la consola de ECS. En el panel de navegación izquierdo, elija Instances Images Instances.
En la barra de navegación superior, seleccione la región y el resource group.

Haga clic en Create Instance y establezca los siguientes parámetros:

Parámetro	Configuración
Network and zone	Seleccione Beijing Zone I. Requiere ecs.g8i.xlarge o superior.
Image	Seleccione Confidential VM y luego elija Alibaba Cloud Linux 3.2104 LTS 64-bit.

Complete la configuración restante y cree la instancia.

(Opcional) Paso 3: Comprobar el estado de TDX en la instancia ECS

Inicie sesión en la instancia ECS y ejecute estos comandos para comprobar que TDX está activo.

Compruebe que TDX está habilitado:
```
lscpu | grep -i tdx_guest
```
Salida esperada cuando TDX está habilitado:
Compruebe que el controlador de TDX está instalado:
```
ls -l /dev/tdx_guest
```
Salida esperada cuando el controlador de TDX está instalado:

Paso 4: Agregar la instancia ECS al node pool

En la consola de ACK, haga clic en Clusters y luego en el nombre del clúster. En el panel de navegación izquierdo, elija Nodes Node Pools.
En la columna Actions, elija More Add Existing Node.
En la página Select Existing ECS Instance, establezca Mode en Auto, seleccione la instancia ECS de Step 2 y complete la configuración. Consulte Add existing ECS instances.

Paso 5: Desplegar una aplicación

Despliegue un pod en el node pool habilitado para TDX. El campo nodeSelector apunta a la etiqueta de nodo creada en el paso 1 para programar el pod en un nodo habilitado para TDX.

Usar la consola de ACK

En la consola de ACK, haga clic en Clusters y luego en el nombre del clúster. En el panel de navegación izquierdo, elija Workloads Pods.

En la esquina superior derecha, haga clic en Create from YAML. Establezca Sample Template en Custom, pegue el siguiente YAML y haga clic en Create.

apiVersion: v1
kind: Pod
metadata:
  labels:
    name: pod-tdx-vm
  name: pod-tdx-vm
spec:
  containers:
    - image: alibaba-cloud-linux-3-registry.cn-hangzhou.cr.aliyuncs.com/alinux3/alinux3:latest
      name: hello
      command:
      - sh
      - -c
      - 'echo hello  sleep infinity'
  nodeSelector:    # Schedules the pod to a TDX-enabled node
    nodepool-label: tdx-vm-pool

En la página Pods, compruebe que el estado del pod sea Running.

Usar kubectl

Conecte un cliente kubectl al clúster. Consulte Connect to an ACK cluster via kubectl.

Cree el archivo pod-tdx-vm.yaml:

apiVersion: v1
kind: Pod
metadata:
  labels:
    name: pod-tdx-vm
  name: pod-tdx-vm
spec:
  containers:
    - image: alibaba-cloud-linux-3-registry.cn-hangzhou.cr.aliyuncs.com/alinux3/alinux3:latest
      name: hello
      command:
      - sh
      - -c
      - 'echo hello  sleep infinity'
  nodeSelector:    # Schedules the pod to a TDX-enabled node
    nodepool-label: tdx-vm-pool

Despliegue el pod:
```
kubectl apply -f pod-tdx-vm.yaml
```
Compruebe que el pod se está ejecutando:
```
kubectl get pod pod-tdx-vm
```
Salida esperada:
```
NAME         READY   STATUS    RESTARTS   AGE
pod-tdx-vm   1/1     Running   0          52s
```
El estado Running con 1/1 contenedores listos confirma que el despliegue se completó en el node pool habilitado para TDX.

Container Service for Kubernetes:Create a TDX confidential VM node pool in an ACK cluster