Una piattaforma di analisi finanziaria deve proteggere i dati sensibili in uso. Alcuni carichi di lavoro vengono eseguiti come container Linux su AKS, mentre altri vengono eseguiti su VM. È necessario utilizzare Trusted Execution Environment basati su hardware, supportare l'attestazione remota prima dell'esecuzione dei carichi di lavoro e ridurre al minimo le modifiche al codice. Cosa si dovrebbe implementare?

La risposta corretta affronta tutti i requisiti: la protezione dei dati in uso (TEE basati su hardware), l'attestazione remota e la minimizzazione delle modifiche al codice. Le Confidential VMs (DCasv5/ECasv5 con AMD SEV-SNP) forniscono TEE per i nodi AKS. I confidential containers (Kata Confidential Containers) estendono questa protezione ai pod, isolando i carichi di lavoro sensibili senza significative modifiche al codice applicativo. Microsoft Azure Attestation è il servizio specifico per la convalida remota del runtime e delle policy, garantendo che l'ambiente sia integro prima dell'esecuzione dei carichi di lavoro. Le altre opzioni sono incomplete o errate: Le VM Standard Dv5 con crittografia del disco e TLS non offrono protezione dei dati in uso (in memoria) e non includono attestazione. I Dedicated Hosts e le chiavi gestite dal cliente proteggono i dati a riposo, ma non i dati in uso e non forniscono TEE o attestazione. Azure Confidential Ledger è per la gestione di registri immutabili e non per la protezione dei dati in uso o l'attestazione del runtime. Le VM ottimizzate per GPU e le Shielded VMs non sono la soluzione appropriata per i container Linux su AKS e la protezione dei dati in uso tramite TEE.