Elastic Compute Service:Pengukuran Disk dan Perlindungan Enkripsi untuk Instans Komputasi Rahasia

Langkah 1: Siapkan lingkungan tepercaya

Lingkungan tepercaya harus memenuhi kondisi berikut:

• Sistem operasi Alibaba Cloud Linux 3: Tool CryptPilot untuk membuat disk sistem rahasia bergantung pada Alibaba Cloud Linux 3.

• Alamat IP publik diaktifkan: Instans komputasi rahasia harus dapat mengakses server Trustee untuk memperoleh kunci dekripsi selama startup.

• Ruang penyimpanan yang cukup: Ruang yang dibutuhkan tergantung pada ukuran file gambar disk sistem yang ingin Anda buat. Kami menyarankan agar lingkungan Anda memiliki ruang kosong lebih dari 40 GiB.

Langkah 2: Buat gambar disk sistem rahasia

Langkah 3: Impor gambar kustom dan buat instans rahasia

1. Unggah gambar kustom ke OSS.

   Unggah file gambar lokal ke OSS dan peroleh URL file tersebut. Untuk informasi lebih lanjut, lihat Unggah file.

2. Impor gambar kustom.

   Saat mengimpor gambar kustom, Boot Mode harus diatur ke UEFI.

   

3. Setelah gambar berhasil diimpor, buka halaman detail gambar dan atur driver NVMe ke Enabled.

   

Langkah 4: Gunakan gambar kustom yang diimpor untuk membuat instans komputasi rahasia

1. Gunakan gambar kustom yang diimpor untuk membuat instans komputasi rahasia TDX atau instans komputasi rahasia heterogen.

   Saat membuat instans, perhatikan parameter berikut:

   • Image: Pilih gambar kustom yang diimpor dan pilih Confidential VM.

     

   • Public IP Address: Pilih Assign Public IPv4 Address agar instans Anda dapat mengakses layanan Trustee dan memperoleh kunci melalui remote attestation.

   • Logon Credentials: Pilih Key Pair.

     Disk sistem rahasia yang dibuat dengan CryptPilot saat ini tidak mendukung logon berbasis password.

2. (Opsional) Jika Anda telah menerapkan layanan Trustee, tambahkan aturan masuk di security group instans Trustee untuk mengizinkan akses ke port 8081 dari Alamat IP publik instans rahasia.

   

3. Restart instans komputasi rahasia.

4. Hubungkan ke instans komputasi rahasia menggunakan terminal Workbench.

   Jika Anda dapat terhubung ke instans, berarti instans tersebut dapat mengakses layanan Trustee dan memperoleh kunci melalui remote attestation.

Langkah 5: (Opsional) Daftarkan nilai referensi di layanan Trustee

Jika Anda telah mengonfigurasi Trustee sebagai backend penyimpanan kunci, instans mengirim permintaan ke layanan Trustee selama startup untuk memperoleh kunci dekripsi disk. Layanan Trustee memverifikasi lingkungan instans melalui remote attestation untuk memeriksa apakah instans tersebut berjalan di instans TEE. Selain itu, jika Anda juga ingin memverifikasi gambar yang sedang berjalan, Anda harus terlebih dahulu mendaftarkan nilai referensi gambar tersebut di Trustee.

1. Gunakan CryptPilot untuk menghitung nilai referensi gambar disk sistem rahasia dan simpan ke reference-value.json.

   sudo cryptpilot-fde-host show-reference-value --disk ./confidential-disk.qcow2 | tee ./reference-value.json

   Berikut contoh output, di mana 466713bf9b2dacca6cd15ff4acd050712e29b4164628e01bd2495411766f36d7ba4560f62537926cf16e08480f1c1804 adalah nilai referensi gambar:

2. Impor nilai referensi ke layanan Trustee.

   provenance=$(cat ./reference-value.json | base64 --wrap=0)
   cat << EOF > ./register-request.json
   {
       "version" : "0.1.0",
       "type": "sample",
       "payload": "$provenance"
   }
   EOF
   
   rvps-tool register --path ./register-request.json

Deskripsi tool penguatan keamanan

Untuk menyederhanakan proses penguatan keamanan, kami menyediakan tool cryptpilot-enhance, yang mengintegrasikan praktik terbaik untuk penguatan keamanan gambar.

cryptpilot-enhance mendukung dua mode penguatan keamanan:

• full: Penguatan keamanan penuh. Menghapus layanan SSH dan menerapkan kontrol akses paling ketat.

• partial: Penguatan keamanan parsial. Mempertahankan layanan SSH tetapi menerapkan autentikasi berbasis kunci. Cocok untuk lingkungan produksi yang memerlukan pemeliharaan jarak jauh.

Penguatan keamanan mencakup item berikut:

Langkah 1: Siapkan lingkungan

1. Buat instans komputasi rahasia.

   Hanya instans rahasia TDX atau instans rahasia heterogen yang didukung.

2. Hubungkan ke instans komputasi rahasia secara jarak jauh.

   Untuk informasi lebih lanjut, lihat Log on ke instans Linux menggunakan Workbench.

3. Instal CryptPilot.

   sudo yum install -y cryptpilot-crypt

Langkah 2: Buat dan pasang disk cloud

1. Buat disk data kosong yang akan dienkripsi.

2. Sambungkan disk data yang dibuat ke instans ECS.

3. Inisialisasi disk data.

   Saat menginisialisasi disk data, buat hanya partisi dan sistem file tanpa memasang sistem file. Sistem file harus dipasang setelah enkripsi.

4. Lihat informasi disk dan partisi yang telah disambungkan.

5. lsblk

   Output menunjukkan bahwa instans ECS saat ini memiliki dua disk cloud yang disambungkan:

   • /dev/nvme0n1: Disk sistem yang sudah ada.

   • /dev/nvme1n1: Disk data yang baru ditambahkan, dengan 2 partisi kosong baru (/dev/nvme1n1p1 dan /dev/nvme1n1p2).

   

Langkah 3: Buat volume dengan sistem file ext4

1. Pertama, Anda perlu menulis file konfigurasi /etc/cryptpilot/volumes/data0.toml. File ini mendefinisikan volume data bernama data0.

   Catatan

   File konfigurasi menggunakan format TOML. Nama file dapat berupa file teks apa pun yang diakhiri dengan .toml dan tidak wajib sesuai dengan nama volume.

   Berikut beberapa contoh konfigurasi khas untuk skenario berbeda. Modifikasi bidang konfigurasi sesuai kebutuhan.

   Volume sementara

   # Konfigurasi volume
   dev = "/dev/nvme1n1p1"    # Tentukan perangkat blok, yaitu partisi kosong disk cloud. Dalam contoh ini, /dev/nvme1n1p1 menggunakan partisi pertama disk data.
   volume = "data0"          # Tentukan nama volume. Dalam contoh ini, diberi nama data0.
   auto_open = false         # true berarti volume terbuka otomatis saat startup sistem; false berarti pembukaan manual diperlukan.
   makefs = "ext4"           # Tentukan jenis sistem file yang akan dibuat. Dalam contoh ini, ext4.
   integrity = true          # true mengaktifkan dukungan integritas data; false menonaktifkannya.
   
   # Konfigurasi kunci
   [encrypt.otp]             # Tentukan jenis penyimpanan kunci. Di sini, one-time password (OTP) dipilih.

   Volume persistent (menggunakan Trustee)

   # Konfigurasi volume
   dev = "/dev/nvme1n1p2"        # Tentukan perangkat blok, yaitu partisi kosong disk cloud. Dalam contoh ini, /dev/nvme1n1p2 menggunakan partisi kedua disk data.
   volume = "data0"              # Tentukan nama volume. Dalam contoh ini, diberi nama data0.
   auto_open = false             # true berarti volume terbuka otomatis saat startup sistem; false berarti pembukaan manual diperlukan.
   makefs = "ext4"               # Tentukan jenis sistem file yang akan dibuat. Dalam contoh ini, ext4.
   integrity = true              # true mengaktifkan dukungan integritas data; false menonaktifkannya.
   
   # Konfigurasi kunci (diambil dari Trustee KBS)
   [encrypt.kbs]
   kbs_url = "http://<trustee-ip>:8081/api"               # Ganti <trustee-ip> dengan Alamat IP publik instans Trustee
   key_uri = "kbs:///default/local-resources/data0"       # URI resource untuk kunci volume data0 yang disimpan di KBS

   Volume persistent (menggunakan Alibaba Cloud KMS)

   # Konfigurasi volume
   dev = "/dev/nvme1n1p2"        # Tentukan perangkat blok, yaitu partisi kosong disk cloud. Dalam contoh ini, /dev/nvme1n1p2 menggunakan partisi pertama disk data.
   volume = "data0"              # Tentukan nama volume. Dalam contoh ini, diberi nama data0.
   auto_open = false             # true berarti volume terbuka otomatis saat startup sistem; false berarti pembukaan manual diperlukan.
   makefs = "ext4"               # Tentukan jenis sistem file yang akan dibuat. Dalam contoh ini, ext4.
   integrity = true              # true mengaktifkan dukungan integritas data; false menonaktifkannya.
   
   # Konfigurasi kunci
   [encrypt.kms]                 # Tentukan jenis penyimpanan kunci. Di sini, Key Management Service (KMS) dipilih.
   secret_name = "confidential_cloud_disk_passphrase"   # Nama rahasia yang disimpan di instans KMS, yaitu confidential_cloud_disk_passphrase dalam contoh di atas.
   # Konten file kredensial identitas aplikasi (clientKey_****.json)
   client_key = '''
   {
     "KeyId": "KAAP.b183152a-c3bf-43ae-9399-a101607b****",
     "PrivateKeyData": "MIIJ0wIBAzCCCZ8GCSqGSIb3DQE****"
   }
   '''
   client_key_password = "258372e962f5204ce648bc66243f****"    # Konten file kata sandi kredensial (clientKey_****_Password.txt)
   kms_instance_id = "kst-bjj67d004a85ykq80****"               # ID instans KMS
   # Konten file sertifikat CA instans KMS (PrivateKmsCA_kst-******.pem)
   kms_cert_pem = """
   -----BEGIN CERTIFICATE-----
   MIIDuzCCAqOgAwIBAgIJALTKwWAjvbMiMA0GCSqGSIb3DQEBCwUAMH****
   -----END CERTIFICATE-----
   -----BEGIN CERTIFICATE-----
   MIID3zCCAsegAwIBAgIJAO8qnQyTy8/kMA0GCSqGSIb3DQEBCwUAMH****
   -----END CERTIFICATE-----
   """

2. Lihat status volume.

   sudo cryptpilot-crypt show data0

   Anda dapat melihat informasi konfigurasi volume data0:

   • Kolom Initialized: Menunjukkan apakah volume perlu diinisialisasi. Volume sementara tidak perlu inisialisasi, sedangkan volume persistent perlu.

   • Kolom Opened: Menunjukkan bahwa volume belum dibuka.

     

3. Inisialisasi volume.

   sudo cryptpilot-crypt init data0

4. Buka volume.

   sudo cryptpilot-crypt open data0

5. Periksa perangkat virtual volume.

   sudo file -Ls /dev/mapper/data0

   Setelah volume dibuka, perangkat blok virtual dibuat di jalur: /dev/mapper/<volume_name>.

   

5. Pasang sistem file dan periksa hasil pemasangan.

   1. Pasang volume data0 ke jalur /mnt/data0.

      sudo mkdir -p /mnt/data0
      sudo mount -t ext4 /dev/mapper/data0 /mnt/data0

   2. Periksa hasil pemasangan.

      mount | grep data0
      ls -la /mnt/data0/

      Output berikut menunjukkan bahwa volume berhasil dipasang dengan sistem file ext4 kosong.

      

6. Tutup volume.

   Penting

   • Contoh ini menggunakan model one-time password (OTP). Setelah volume ditutup, data rahasia yang tersimpan di dalamnya hilang secara permanen.

   • Sebelum menutup volume, hentikan semua proses bisnis yang membaca atau menulis ke volume, lepas pemasangan sistem file pada volume, dan pastikan volume tidak sedang digunakan.

   1. Lepas pemasangan sistem file.

      sudo umount /mnt/data0

   2. Tutup volume.

      sudo cryptpilot-crypt close data0

      

Langkah 4: Konfigurasikan volume agar terbuka otomatis saat startup

1. Modifikasi file konfigurasi.

   Untuk volume yang perlu terbuka otomatis, ubah nilai bidang auto_open menjadi true dalam file konfigurasi.

2. (Bersyarat) Untuk volume persistent, Anda harus menjalankan sudo cryptpilot-crypt init <volume_name> secara manual untuk menginisialisasi volume sebelum volume tersebut dapat dibuka otomatis saat startup.

3. Jalankan dan aktifkan layanan cryptpilot agar berjalan saat boot.

   Penting

   Setelah setiap modifikasi konfigurasi cryptpilot, Anda harus menjalankan dan mengaktifkan layanan cryptpilot untuk memastikan fitur volume auto-open berlaku.

   sudo systemctl enable --now cryptpilot.service

4. Restart instans.

5. Lihat status volume.

   sudo cryptpilot-crypt show

   Output berikut menunjukkan bahwa volume dibuka secara otomatis.