Elastic Compute Service:Proteção de Medição e Criptografia de Disco para Instâncias de Computação Confidencial

Etapa 1: Prepare um ambiente confiável

O ambiente confiável deve atender às seguintes condições:

• Sistema operacional Alibaba Cloud Linux 3: A ferramenta CryptPilot para criação de discos do sistema confidenciais depende do Alibaba Cloud Linux 3.

• IP público habilitado: A instância de computação confidencial precisa acessar o servidor Trustee para obter a chave de descriptografia durante a inicialização.

• Espaço suficiente: O espaço necessário depende do tamanho do arquivo de imagem do disco do sistema que você deseja criar. Recomenda-se que o ambiente tenha mais de 40 GiB de espaço livre.

Etapa 2: Crie uma imagem de disco do sistema confidencial

Etapa 3: Importar a imagem personalizada e criar uma instância confidencial

1. Carregue a imagem personalizada no OSS.

   Carregue o arquivo de imagem local no OSS e obtenha a URL do arquivo. Para mais informações, consulte Carregar arquivos.

2. Importe a imagem personalizada.

   Ao importar a imagem personalizada, o Boot Mode deve ser definido como UEFI.

   

3. Após importar a imagem com êxito, acesse a página de detalhes da imagem e defina o driver NVMe como Enabled.

   

Etapa 4: Usar a imagem personalizada importada para criar uma instância de computação confidencial

1. Use a imagem personalizada importada para criar uma instância de computação confidencial TDX ou uma instância de computação confidencial heterogênea.

   Ao criar a instância, observe os seguintes parâmetros:

   • Image: Selecione a imagem personalizada importada e selecione Confidential VM.

     

   • Public IP Address: Selecione Assign Public IPv4 Address para que a instância acesse o serviço Trustee e obtenha a chave via atestação remota.

   • Logon Credentials: Selecione Key Pair.

     Discos de sistema confidenciais criados com CryptPilot não oferecem suporte a logon por senha atualmente.

2. (Opcional) Se você implantou o serviço Trustee, adicione uma regra de entrada no grupo de segurança da instância Trustee para permitir acesso à porta 8081 a partir do endereço IP público da instância confidencial.

   

3. Reinicie a instância de computação confidencial.

4. Conecte-se à instância de computação confidencial pelo terminal Workbench.

   Se conseguir se conectar à instância, isso indica que ela acessa o serviço Trustee e obtém a chave via atestação remota com êxito.

Etapa 5: (Opcional) Registrar valores de referência no serviço Trustee

Se você configurou o Trustee como backend de armazenamento de chaves, a instância envia uma solicitação ao serviço Trustee durante a inicialização para obter a chave de descriptografia do disco. O serviço Trustee verifica o ambiente da instância via atestação remota para checar se ela está sendo executada em uma instância TEE. Além disso, se você quiser verificar também a imagem em execução, registre primeiro os valores de referência da imagem no Trustee.

1. Use o CryptPilot para calcular os valores de referência da imagem de disco de sistema confidencial e salve-os em reference-value.json.

   sudo cryptpilot-fde-host show-reference-value --disk ./confidential-disk.qcow2 | tee ./reference-value.json

   Veja a seguir um exemplo de saída, em que 466713bf9b2dacca6cd15ff4acd050712e29b4164628e01bd2495411766f36d7ba4560f62537926cf16e08480f1c1804 é o valor de referência da imagem:

2. Importe os valores de referência no serviço Trustee.

   provenance=$(cat ./reference-value.json | base64 --wrap=0)
   cat << EOF > ./register-request.json
   {
       "version" : "0.1.0",
       "type": "sample",
       "payload": "$provenance"
   }
   EOF
   
   rvps-tool register --path ./register-request.json

Descrição da ferramenta de fortalecimento

Para simplificar o processo de fortalecimento, disponibilizamos a ferramenta cryptpilot-enhance, que integra as melhores práticas de fortalecimento de segurança de imagens.

O cryptpilot-enhance oferece suporte a dois modos de fortalecimento:

• full: Fortalecimento completo. Remove o serviço SSH e aplica o controle de acesso mais rigoroso.

• partial: Fortalecimento parcial. Mantém o serviço SSH, mas exige autenticação por chave. Indicado para ambientes de produção que requerem manutenção remota.

O fortalecimento inclui os seguintes itens:

Etapa 1: Prepare o ambiente

1. Crie uma instância de computação confidencial.

   Somente instâncias confidenciais TDX ou instâncias confidenciais heterogêneas são compatíveis.

2. Conecte-se remotamente à instância de computação confidencial.

   Para mais informações, consulte Fazer login em uma instância Linux usando o Workbench.

3. Instale o CryptPilot.

   sudo yum install -y cryptpilot-crypt

Etapa 2: Crie e monte um disco em nuvem

1. Crie um disco de dados vazio a ser criptografado.

2. Anexe o disco de dados criado à instância ECS.

3. Inicialize o disco de dados.

   Ao inicializar o disco de dados, crie apenas partições e sistemas de arquivos sem montar o sistema de arquivos. O sistema de arquivos deve ser montado após a criptografia.

4. Visualize as informações do disco e das partições anexados.

5. lsblk

   A saída mostra que a instância ECS atual tem dois discos em nuvem anexados:

   • /dev/nvme0n1: O disco de sistema existente.

   • /dev/nvme1n1: O disco de dados recém-adicionado, com 2 novas partições vazias (/dev/nvme1n1p1 e /dev/nvme1n1p2).

   

Etapa 3: Crie um volume com sistema de arquivos ext4

1. Primeiro, escreva um arquivo de configuração /etc/cryptpilot/volumes/data0.toml. Esse arquivo define um volume de dados chamado data0.

   null

   O arquivo de configuração usa o formato TOML. O nome do arquivo pode ser qualquer arquivo de texto com a extensão .toml e não precisa corresponder ao nome do volume.

   A seguir estão alguns exemplos de configuração típicos para diferentes cenários. Modifique os campos de configuração conforme necessário.

   Volume temporário

   # Volume configuration
   dev = "/dev/nvme1n1p1"    # Specify the block device, i.e., the empty partition of the cloud disk. In this example, /dev/nvme1n1p1 uses the first partition of the data disk.
   volume = "data0"          # Specify the volume name. In this example, it is named data0.
   auto_open = false         # true means the volume opens automatically on system startup; false means manual opening is required.
   makefs = "ext4"           # Specify the file system type to create. In this example, ext4.
   integrity = true          # true enables data integrity support; false disables it.
   
   # Key configuration
   [encrypt.otp]             # Specify the key storage type. Here, one-time password (OTP) is selected.

   Volume persistente (usando Trustee)

   # Volume configuration
   dev = "/dev/nvme1n1p2"        # Specify the block device, i.e., the empty partition of the cloud disk. In this example, /dev/nvme1n1p2 uses the second partition of the data disk.
   volume = "data0"              # Specify the volume name. In this example, it is named data0.
   auto_open = false             # true means the volume opens automatically on system startup; false means manual opening is required.
   makefs = "ext4"               # Specify the file system type to create. In this example, ext4.
   integrity = true              # true enables data integrity support; false disables it.
   
   # Key configuration (retrieved from Trustee KBS)
   [encrypt.kbs]
   kbs_url = "http://<trustee-ip>:8081/api"               # Replace <trustee-ip> with the public IP address of the Trustee instance
   key_uri = "kbs:///default/local-resources/data0"       # The resource URI for the data0 volume key stored in KBS

   Volume persistente (usando Alibaba Cloud KMS)

   # Volume configuration
   dev = "/dev/nvme1n1p2"        # Specify the block device, i.e., the empty partition of the cloud disk. In this example, /dev/nvme1n1p2 uses the first partition of the data disk.
   volume = "data0"              # Specify the volume name. In this example, it is named data0.
   auto_open = false             # true means the volume opens automatically on system startup; false means manual opening is required.
   makefs = "ext4"               # Specify the file system type to create. In this example, ext4.
   integrity = true              # true enables data integrity support; false disables it.
   
   # Key configuration
   [encrypt.kms]                 # Specify the key storage type. Here, Key Management Service (KMS) is selected.
   secret_name = "confidential_cloud_disk_passphrase"   # The name of the secret stored in the KMS instance, i.e., confidential_cloud_disk_passphrase in the example above.
   # Content of the application identity credential file (clientKey_****.json)
   client_key = '''
   {
     "KeyId": "KAAP.b183152a-c3bf-43ae-9399-a101607b****",
     "PrivateKeyData": "MIIJ0wIBAzCCCZ8GCSqGSIb3DQE****"
   }
   '''
   client_key_password = "258372e962f5204ce648bc66243f****"    # Content of the credential password file (clientKey_****_Password.txt)
   kms_instance_id = "kst-bjj67d004a85ykq80****"               # KMS instance ID
   # Content of the KMS instance CA certificate file (PrivateKmsCA_kst-******.pem)
   kms_cert_pem = """
   -----BEGIN CERTIFICATE-----
   MIIDuzCCAqOgAwIBAgIJALTKwWAjvbMiMA0GCSqGSIb3DQEBCwUAMH****
   -----END CERTIFICATE-----
   -----BEGIN CERTIFICATE-----
   MIID3zCCAsegAwIBAgIJAO8qnQyTy8/kMA0GCSqGSIb3DQEBCwUAMH****
   -----END CERTIFICATE-----
   """

2. Visualize o status do volume.

   sudo cryptpilot-crypt show data0

   As informações de configuração do volume data0 são exibidas:

   • Coluna Initialized: Indica se o volume precisa de inicialização. Volumes temporários não precisam de inicialização, enquanto volumes persistentes precisam.

   • Coluna Opened: Indica que o volume não está aberto.

     

3. Inicialize o volume.

   sudo cryptpilot-crypt init data0

4. Abra o volume.

   sudo cryptpilot-crypt open data0

5. Verifique o dispositivo virtual do volume.

   sudo file -Ls /dev/mapper/data0

   Após abrir o volume, um dispositivo de bloco virtual é criado no caminho: /dev/mapper/<volume_name>.

   

5. Monte o sistema de arquivos e verifique o resultado da montagem.

   1. Monte o volume data0 no caminho /mnt/data0.

      sudo mkdir -p /mnt/data0
      sudo mount -t ext4 /dev/mapper/data0 /mnt/data0

   2. Verifique o resultado da montagem.

      mount | grep data0
      ls -la /mnt/data0/

      A saída a seguir indica que o volume foi montado com sucesso com um sistema de arquivos ext4 vazio.

      

6. Feche o volume.

   null

   • Este exemplo usa o modelo de senha de uso único (OTP). Após fechar o volume, os dados confidenciais armazenados nele são perdidos permanentemente.

   • Antes de fechar o volume, interrompa todos os processos de negócio que estejam lendo ou gravando no volume, desmonte o sistema de arquivos no volume e certifique-se de que o volume não está em uso.

   1. Desmonte o sistema de arquivos.

      sudo umount /mnt/data0

   2. Feche o volume.

      sudo cryptpilot-crypt close data0

      

Etapa 4: Configurar o volume para abrir automaticamente na inicialização

1. Modifique o arquivo de configuração.

   Para volumes que precisam abrir automaticamente, altere o valor do campo auto_open para true no arquivo de configuração.

2. (Condicional) Para volumes persistentes, execute manualmente sudo cryptpilot-crypt init <volume_name> para inicializar o volume antes que ele possa ser aberto automaticamente na inicialização.

3. Inicie e ative o serviço cryptpilot para que ele seja iniciado no boot.

   null

   Após cada modificação da configuração do cryptpilot, inicie e ative o serviço cryptpilot para garantir que o recurso auto-open volume entre em vigor.

   sudo systemctl enable --now cryptpilot.service

4. Reinicie a instância.

5. Visualize o status do volume.

   sudo cryptpilot-crypt show

   A saída a seguir indica que o volume foi aberto automaticamente.