Платформа финансовой аналитики должна защищать конфиденциальные данные, находящиеся в использовании. Некоторые рабочие нагрузки выполняются как контейнеры Linux в AKS, в то время как другие работают на виртуальных машинах. Вы должны использовать аппаратные доверенные среды выполнения (Trusted Execution Environments), поддерживать удаленную аттестацию до запуска рабочих нагрузок и минимизировать изменения в коде. Что вы должны реализовать?

Правильный ответ обеспечивает защиту конфиденциальных данных в использовании, удаленную аттестацию и минимизацию изменений в коде. Запуск пулов узлов AKS на конфиденциальных виртуальных машинах (например, DCasv5/ECasv5 с AMD SEV-SNP) и использование конфиденциальных контейнеров (Kata Confidential Containers) создают аппаратные доверенные среды выполнения (TEE) для контейнеров и виртуальных машин. Microsoft Azure Attestation позволяет проверять среду выполнения и политику перед запуском рабочих нагрузок, обеспечивая удаленную аттестацию. Неправильные варианты: Использование стандартных виртуальных машин Dv5 с шифрованием дисков и TLS защищает данные в состоянии покоя и при передаче, но не в использовании, поскольку не применяются TEE. Выделенные хосты и управляемые клиентом ключи для дисков также защищают данные в состоянии покоя, но не в использовании и не предоставляют TEE или аттестацию. Azure Confidential Ledger хранит секреты, но не обеспечивает защиту среды выполнения приложения или TEE. Виртуальные машины, оптимизированные для GPU, не связаны с конфиденциальными вычислениями, а Shielded VMs (экранированные ВМ) в Azure в основном используются для защиты виртуальных машин Hyper-V от вредоносных администраторов, а не для контейнеров Linux в AKS.