Eine Finanzanalyseplattform muss sensible Daten während der Nutzung schützen. Einige Workloads laufen als Linux-Container auf AKS, während andere auf VMs laufen. Sie müssen hardwarebasierte Trusted Execution Environments verwenden, Remote Attestation unterstützen, bevor Workloads ausgeführt werden, und Codeänderungen minimieren. Was sollten Sie implementieren?

Die korrekte Option erfüllt alle Anforderungen: Hardwarebasierte Trusted Execution Environments (TEEs) werden durch Confidential VMs (z.B. DCasv5/ECasv5 mit AMD SEV-SNP) bereitgestellt, die Daten während der Nutzung im Speicher und in der CPU verschlüsseln. Kata Confidential Containers erweitern diesen Schutz auf Linux-Container-Workloads in AKS. Remote Attestation wird durch Microsoft Azure Attestation ermöglicht, das die Integrität der Umgebung vor dem Start der Workloads überprüft und somit Codeänderungen minimiert. Die anderen Optionen sind unzureichend: Standard-VMs bieten keinen hardwarebasierten Schutz für Daten während der Nutzung. Dedizierte Hosts und kundenverwaltete Schlüssel schützen Daten im Ruhezustand, aber nicht während der Verarbeitung. Azure Confidential Ledger ist für Geheimnisse, nicht für den Laufzeitschutz der Anwendung. GPU-VMs und Shielded VMs (für Windows) sind nicht die primäre Lösung für hardwarebasierte TEEs bei Linux-Containern.