コンフィデンシャル、一般提供、オープンソースとは？ それがMicrosoft Azure対応Canonical Ubuntu 22.04！
by Canonical on 10 February 2023
Canonicalの全チームを代表し、Microsoft AzureでUbuntu 22.04 Confidential VM（CVM）の一般提供を発表いたします！今回のCVMは、第3世代のAMD CPUに追加されたセキュリティ拡張機能Secure Encrypted Virtualization-Secure Nested Paging（SEV-SNP）に対応するMicrosoft Azure DCasv5/ECasv5シリーズの一環です。
したがってUbuntu 22.04 CVMは、クラウドの特権システムソフトウェア（ハイパーバイザ、ホストOS、ファームウェア）を侵害しかねない強力な敵、あるいはVMに不正にアクセスできる悪質な、または侵害を受けたクラウドプロバイダー管理者からもパブリッククラウドのワークロードを守ります。
コンフィデンシャルコンピューティングとは、複数の関係者の協力を必要とする業界全体の取り組みです。ハードウェア側では、すでにシリコンプロバイダーがかなりのリソースをTrusted Execution Environment（TEE）の開発に投入しています。そのようなTEEを積極的に採用しているのがパブリッククラウドプロバイダー（PCP）です。PCPは、コンフィデンシャルワークロードをユーザーが簡単に実行できるよう、VM全体をそのままTEE内で実行する「シフト＆リフト」への対応に力を注いでいます。これなら、開発者がコンフィデンシャルアプリのリファクタリングや書き直しをする必要はありません。ただし、ゲストオペレーティングシステムを最適化することで、ユーザーアプリがプラットフォームのハードウェアTEE機能を利用し、起動中や休止中のVMもしっかり保護するようにする必要があります。
ここ数カ月間、Canonical Ubuntuが取り組んでいるのがそれです。Microsoft Azureとの緊密な協力のおかげで、このたびAzureのUbuntu 22.04 CVMを使ってコンフィデンシャルパブリッククラウドワークロードを構築していただけるようになりました。
Ubuntu CVMの仕組み
Ubuntu CVMは、VMのライフサイクル全体にわたってセキュリティを確保することで強力なセキュリティ保証を実現します。
- 実行中：AMD SEV-SNPにより、ユーザーのVMのコードとデータはシステムメモリ内で処理される際に暗号化されます。暗号化には、CPUのメモリコントローラに組み込まれた最新のAES-128ハードウェア暗号化エンジンが利用されます。暗号化キーはAMDセキュアプロセッサーによってさらに保護され、管理されます。
- 休止中：ワークロード全体が、Ubuntuに強化されたフルディスク暗号化機能で暗号化されます。暗号化キー自体もVMの仮想ディスクに暗号化されて保存されます。それがインスタンスに紐付けられた仮想TPM（vTPM）にバインドされます。最後に、vTPM自体がゲストVMのアドレス空間の一部であり、AMD SEV-SNP拡張がVMインスタンス全体に提供するのと同じ実行中セキュリティ保証によって守られます。
- 起動中：VMを起動する前、プラットフォームは、OS、ファームウェア、プラットフォームのブート測定値の検証に使用可能なハードウェアにルートを持つ署名付き証明書を提供します。
今後の展望
ユーザーはUbuntu 22.04 CVMにより、多層防御アーキテクチャをさらに厚くし、Azureワークロードの攻撃対象領域を縮小することになります。Ubuntuはこれに関連する複雑なタスクを処理し、スムーズに新しいレベルのセキュリティを実現します。
すでにパブリッククラウドをお使いなら、コンフィデンシャルVMとしてVMを実行することにはメリットしかありません。セキュリティが心配でパブリッククラウドを使っていないのであれば、コンフィデンシャルコンピューティングの進歩によってリスク評価を再検討し、組織に最適な結論に達することができるでしょう。
Canonicalでは、コンフィデンシャルコンピューティングと個人情報を保護する技術こそ、未来のコンピューティングのデフォルトになると考えています。だからこそCanonical UbuntuのコンフィデンシャルVMは無償なのです。Azureでは、お使いのUbuntu CVMにいつでもCanonicalのUbuntu Proサービスを追加できます。これには10年間の長期セキュリティメンテナンス、イメージの認証と堅牢化、カーネルライブパッチ機能が含まれます。
Canonical Ubuntuのコンフィデンシャルコンピューティングはまだ始まったばかり！これからもCanonicalのポートフォリオ拡張に関する今後の発表にご期待ください。
その他のリソース
ニュースレターのサインアップ
関連記事
コンフィデンシャルコンピューティングはプライベートデータセンターにも必要？
コンフィデンシャルコンピューティングの普及が進む中、よく聞かれる質問があります。なぜプライベートデータセンターにもコンフィデンシャルコンピューティングが必要なのでしょう？ コンフィデンシャルコンピューティングがパブリッククラウド環境におけるセキュリティの懸念への対処と関連付けられることが多いのは事実ですが、コンフィデンシャルコンピューティングの価値はそれだけではありません。 コンフィデンシャルコンピューティングの脅威モデル この質問に答えるためには、最初にコンフィデンシャルコンピューティングの根本的な脅威モデルについて理解する必要があります。パブリッククラウドにおけるコンフィデンシャル仮想マシン（CVM）は、メインメモリ内のワークロードを暗号化することでワークロードの新し […]
Ubuntu ServerからAzure対応Ubuntu Proへのインプレースアップグレード
AzureがUbuntu ServerからUbuntu Proへのインプレースアップグレードに対応しました。Azureとの戦略提携によって実現したこの機能では、仮想マシン（VM）の再デプロイやメンテナンス期間のスケジューリングなしで、簡単にUbuntu Proの高度な機能と長期セキュリティメンテナンスを活用できます。 「Canonicalとの提携でAzure対応Ubuntuの体験が向上することを嬉しく思います。これで、Ubuntu Proの高度なセキュリティ、コンプライアンス、管理機能にシームレスにアクセスしていただけます。」– Andrew Randall氏、MicrosoftのプリンシパルPMマネージャー Ubuntu Proとは Ubuntu Proとは、Ubunt […]
MLOpsのツールのセキュリティを確保するには？
Ubuntu ProによるスピーディーなパッチでMLOpsのセキュリティを確保 ChatGPTのような生成AIプロジェクトにより、企業は自社のAI戦略を見直し、優先するようになりました。PwCが発行したレポートによれば、回答者の72%が人工知能には投資効果があると確信しています。また半数は、自社のAIプロジェクトが必要な規制に適合している（57%）、サイバー攻撃、脅威、乗っ取りからシステムを保護している（55%）と回答しています。 実運用レベルのAIプロジェクトは簡単ではありません。データの準備、モデルの開発、運用へとさまざまな段階を踏む必要があります。このようなプロジェクトには再現性と移植性が欠かせません。ここが機械学習運用（MLOps）の出番です。 MLOpsとは 機 […]