Elastic Compute Service:機密インスタンスにおけるクラウドディスクの暗号化

別の ECS インスタンスなど、信頼できる環境で Trustee パッケージをインストールします：

sudo yum install -y trustee

Alibaba Cloud Linux 3 インスタンスでは、systemd を使用して Trustee サービスを開始できます：

sudo systemctl restart trustee

Trustee が起動すると、ローカルマシンのポート 8081 でリッスンします。

デフォルトのリモートアテステーションポリシーを変更します

Trustee は、機密インスタンス内の TEE ハードウェア環境、ファイルシステム、プログラム、および設定をチェックし、チェック結果を提供します。

簡単にするために、この例では有効な TEE ハードウェア環境のみをチェックします。`/opt/trustee/kbs/policy.rego` ファイルを次の内容に変更します。

package policy

import rego.v1

default allow = false

# ---------------------------
# Resource path helpers
# ---------------------------
resource_path := data["resource-path"]
path_parts := split(resource_path, "/")

is_repo(name) if { count(path_parts) == 3; path_parts[0] == name }
is_type(t)    if { count(path_parts) == 3; path_parts[1] == t }
is_tag(tag)   if { count(path_parts) == 3; path_parts[2] == tag }

# ---------------------------
# Default decision
# ---------------------------

allow if {
        # cpu0 must exist
        s := input.submods["cpu0"]
        # cpu0 must carry a trustworthiness vector
        tv := s["ear.trustworthiness-vector"]
        # and it must pass the hardware check
        tv["hardware"] <= 32
}

ボリュームの暗号鍵を準備してアップロードします

1. キー保存ディレクトリを作成します (KBS はデフォルトで /opt/trustee/kbs/repository/default/ を使用します)：

   sudo mkdir -p /opt/trustee/kbs/repository/default/local-resources/

2. 以前に生成したキーをローカルリソースファイルに書き込みます。例：

   sudo sh -c 'echo -n "<data1_volume_encryption_key>" > /opt/trustee/kbs/repository/default/local-resources/data1'

   <data1-volume-encryption-key> を以前に生成したランダムキーに置き換えます。対応する KBS リソース識別子は kbs:///default/local-resources/data1 であり、後続のステップで Cryptpilot ボリューム設定で参照できます。

機密インスタンスでリモートアテステーションを有効にし、Trustee サービスにアクセスしてキーを取得するには、追加の依存コンポーネントをインストールします。

sudo yum install confidential-data-hub attestation-agent -y
sudo systemctl enable --now attestation-agent.service

/etc/cryptpilot/volumes/data1.toml ファイルを作成します。

設定ファイル

必要に応じて、次の設定ファイルの設定情報を変更します。

# ボリューム設定
dev = "/dev/nvme1n1p2"        # 使用するブロックデバイスを指定します。これはクラウドディスクの空のパーティションです。この例では、データディスクの 2 番目のパーティションである /dev/nvme1n1p2 を使用します。
volume = "data1"              # ボリューム名を指定します。この例では data1 と名付けます。
auto_open = false             # true はシステム起動時にボリュームが自動的に開かれることを意味します。false はボリュームを手動で開く必要があることを意味します。
makefs = "ext4"               # 作成するファイルシステムのタイプを指定します。この例では ext4 を使用します。
integrity = true              # true はデータ整合性サポートが有効であることを意味します。false はデータ整合性サポートが無効であることを意味します。

# キー設定 (Trustee KBS を介して取得)
[encrypt.kbs]
kbs_url = "http://<trustee-ip>:8081/api"               # <trustee-ip> を Trustee インスタンスのパブリック IP アドレスに置き換えます。
key_uri = "kbs:///default/local-resources/data1"       # KBS に保存されている data1 ボリュームのキーのリソース URI。

KMS インスタンスを購入して有効化します。

ソフトウェア保護キーを作成します。

汎用シークレットを作成します。

• [シークレット名]：汎用シークレットの名前を入力します。この例では、confidential_cloud_disk_passphrase を使用します。

• [シークレット値]：[プレーンテキスト] を選択し、前のステップで生成したランダムキーを入力します。

• [カスタマーマスターキー (CMK)]：前のステップで作成したソフトウェア保護キーを選択します。

アプリケーションアクセスポイントを作成し、KMS インスタンスの CA 証明書を取得します。

次の項目を取得したことを確認してください：

• アプリケーション ID 認証情報 (ClientKeyContent)：ファイル名はデフォルトで clientKey_****.json です。

• 認証情報セキュリティトークン (ClientKeyPassword)：ファイル名はデフォルトで clientKey_****_Password.txt です。

• KMS インスタンス CA 証明書：ファイル名はデフォルトで PrivateKmsCA_kst-******.pem です。

/etc/cryptpilot/volumes/data1.toml ファイルを作成します。

設定ファイル。

必要に応じて、次の設定ファイルの設定情報を変更します。

# ボリューム設定
dev = "/dev/nvme1n1p2"        # 使用するブロックデバイスを指定します。これはクラウドディスクの空のパーティションです。この例では、データディスクの最初のパーティションである /dev/nvme1n1p2 を使用します。
volume = "data1"              # ボリューム名を指定します。この例では data1 と名付けます。
auto_open = false             # true はシステム起動時にボリュームが自動的に開かれることを意味します。false はボリュームを手動で開く必要があることを意味します。
makefs = "ext4"               # 作成するファイルシステムのタイプを指定します。この例では ext4 を使用します。
integrity = true              # true はデータ整合性サポートが有効であることを意味します。false はデータ整合性サポートが無効であることを意味します。

# キー設定
[encrypt.kms]                 # キーの保存タイプを指定します。ここでは、Key Management Service (KMS) タイプが選択されています。
secret_name = "confidential_cloud_disk_passphrase"   # KMS インスタンスに保存されているシークレット名。前の例では confidential_cloud_disk_passphrase です。
# アプリケーション ID 認証情報ファイル (clientKey_****.json ファイル) の内容。
client_key = '''
{
  "KeyId": "KAAP.b183152a-c3bf-43ae-9399-a101607b****",
  "PrivateKeyData": "MIIJ0wIBAzCCCZ8GCSqGSIb3DQE****"
}
'''
client_key_password = "258372e962f5204ce648bc66243f****"    # 認証情報セキュリティトークンファイル (clientKey_****_Password.txt ファイル) の内容。
kms_instance_id = "kst-bjj67d004a85ykq80****"               # KMS インスタンス ID。
# KMS インスタンス CA 証明書ファイル (PrivateKmsCA_kst-******.pem ファイル) の内容。
kms_cert_pem = """
-----BEGIN CERTIFICATE-----
MIIDuzCCAqOgAwIBAgIJALTKwWAjvbMiMA0GCSqGSIb3DQEBCwUAMH****
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
MIID3zCCAsegAwIBAgIJAO8qnQyTy8/kMA0GCSqGSIb3DQEBCwUAMH****
-----END CERTIFICATE-----
"""