关于蚂蚁金服:蚂蚁集团宣布云原生大规模集群化机密计算框架-KubeTEE-开源

34次阅读

共计 1540 个字符,预计需要花费 4 分钟才能阅读完成。

近日蚂蚁团体在上海外滩大会可信原生技术论坛上发表开源 KubeTEE。

KubeTEE 是一个云原生大规模集群化秘密计算框架,旨在解决在云原生环境中 TEE 可信执行环境技术特有的从开发、部署到运维整体流程中的相干问题。这是业界首个开源的 TEE 大规模集群整体解决方案。

背景:

2018 年,蚂蚁团体开始全面转型云原生架构。2020 年,该团体又提出了“可信原生(Trust-Native)”的理念,将可信任性渗透到云原生架构的各层之中,打造全栈可信赖的云计算基础设施。

而作为爱护利用的运行平安的技术,秘密计算理念以及可信执行环境 TEE (Trusted Execution Environment) 也被蚂蚁引入并踊跃实际,造成了 SOFAEnclave 秘密计算技术栈。

SOFAEnclave 包含三大组件:

  • Occlum LibOS:解决业务开发过程中的问题,如传统 TEE 利用开发须要切分重构,依赖 SDK 特定编程语言等问题;
  • HyperEnclave:解决 TEE 部署环境问题,如硬件 TEE 不遍及、软硬件 TEE 应用一致性等问题;
  • KubeTEE:解决 TEE 集群问题,包含云原生环境特有的从开发、部署到运维整体流程中的相干问题。

此前,Occlum LibOS 曾经开源,并募捐给了 CCC(Confidential Computing Consortium)秘密计算联盟。CCC 秘密计算联盟隶属于 Linux 基金会,由业界多家科技巨头发动,致力于爱护计算数据安全。Occlum 募捐给 CCC,则将成为 CCC 社区首个中国发动的开源我的项目。


KubeTEE 则是云原生场景下如何应用 TEE 技术的一套整体解决方案,包含多个框架、工具和微服务的汇合。其联合了 Kubernetes 和 TEE 两个重要技术方向,解决可信利用从单点到容器化集群施行过程中的相干问题。

KubeTEE 的指标之一是提供 Serverless 状态的秘密计算服务,比方 Trusted FaaS,让业务方只须要实现业务外围逻辑,就能够简略地将之提交到 TEE 环境中运行,而不必反复整套的业务服务开发、部署和运维的流程。

KubeTEE:金融级云原生的秘密计算集群

针对 Enclave 集群化方面的问题,蚂蚁团体去年就开始思考如何能更高效和简洁的应用 TEE 资源提供秘密计算服务,他们的解决办法是 KubeTEE——联合云原生,提供秘密计算集群服务。

一方面防止了业务用户反复进行基础设施建设,另一方面用户注册账号即可应用秘密计算集群服务,大大降低了秘密计算门槛,进步了易用性和利用率。KubeTEE 为了更高效的应用物理资源,基于 k8s + container 更优雅地部署和治理秘密计算镜像和 EPC 资源。基于 k8s 的容器调度能力,KubeTEE 能够疾速实现秘密计算服务资源的横向扩缩容。概括来说,他们心愿以一种更加云原生的形式来应用 Enclave 和秘密计算集群资源。

提供基于 Enclave Container 的业务部署能力,基础设施运维和业务无感知降级等能力;

提供 Serverless 秘密计算服务,基于通用的秘密计算资源池反对业务服务;

基于通用的秘密计算组件、中间件服务和研发流程联合提供平台化的业务开发能力;

实现 Serverless 秘密计算集群的过程,咱们一方面提供最终态的秘密计算服务,同时将过程中积攒的组件抽象化为可复用模块,应答不同业务的定制化需要,晋升秘密计算业务的 Enclave 开发效率。


蚂蚁团体方面示意,目前,尽管 KubeTEE 曾经能够较大水平帮忙业务方升高 TEE 开发复杂度,但还有很大的提高空间。KubeTEE 下一阶段将更多关注云原生场景和秘密计算的联合,继续奉献更多组件以及通用服务,让 TEE 的应用更高效、更简略、更云原生化。也 KubeTEE 能和业界携手,共建更残缺的云端平安计算生态。

正文完
 0