Getting-Started on Confidential Containers

安装

Mon, 01 Jan 0001 00:00:00 +0000

说明

安装 Confidential Containers 之前，请先完成前提条件章节中的准备工作。

使用 Helm 安装 CoCo

通过 Confidential Containers Charts 仓库提供的 Helm Chart 安装 CoCo 运行时。

安装最新版本：

helm install coco oci://ghcr.io/confidential-containers/charts/confidential-containers \
  --namespace coco-system \
  --create-namespace

将 <VERSION> 替换为所需的发布版本：

helm install coco oci://ghcr.io/confidential-containers/charts/confidential-containers \
  --version <VERSION> \
  --namespace coco-system \
  --create-namespace

例如，安装 v0.18.0 版本：

示例工作负载

Mon, 01 Jan 0001 00:00:00 +0000

创建示例 Confidential Containers 工作负载

使用 Helm Chart 安装 Confidential Containers 后，只需为 Pod 添加一个 RuntimeClass，即可运行 CoCo 工作负载。我们使用 kata-qemu-coco-dev RuntimeClass，它会在不依赖机密计算硬件支持的情况下运行 CoCo。首先，使用一个未加密的容器镜像进行演示。

本示例使用如下 YAML 所示的 nginx 镜像：

apiVersion: v1
kind: Pod
metadata:
  labels:
    run: nginx
  name: nginx
  annotations:
    io.containerd.cri.runtime-handler: kata-qemu-coco-dev
spec:
  containers:
  - name: nginx
    image: nginx:1.29.4
  dnsPolicy: ClusterFirst
  runtimeClassName: kata-qemu-coco-dev

对于大多数基础的工作负载来说，通常只需在 Pod YAML 中设置 runtimeClassName 和 runtime-handler 注解即可。

按照上面的内容创建一个 Pod YAML 文件（本示例命名为 nginx.yaml）。

加固工作负载

Mon, 01 Jan 0001 00:00:00 +0000

现在你已经部署了一个简单的 Confidential Containers 工作负载，接下来可以进一步了解如何将其加固到适用于生产环境的水平。本页重点介绍你需要做出的几个关键决策：

为你的硬件选择合适的 RuntimeClass
理解并配置用于保护工作负载的各类策略
利用额外的安全特性进一步提升防护能力

选择合适的 RuntimeClass

在前面的示例中，我们使用的是 kata-qemu-coco-dev，它主要用于测试场景，不依赖机密计算硬件支持。如果是在生产环境中部署，则必须选择与实际 TEE 硬件相匹配的 RuntimeClass。

RuntimeClass 选择指南

用于开发与测试：

kata-qemu-coco-dev - 不依赖 TEE 硬件的测试运行时（⚠️ 不提供安全保证）

用于 x86_64 裸金属生产环境：

kata-qemu-tdx - Intel TDX（Trust Domain Extensions）
kata-qemu-snp - AMD SEV-SNP（Secure Encrypted Virtualization）
kata-qemu-sev - AMD SEV（较早一代）
kata-qemu-nvidia-gpu-tdx - NVIDIA GPU 加 Intel TDX 组合
kata-qemu-nvidia-gpu-snp - NVIDIA GPU 加 AMD SNP 组合

用于 s390x 生产环境：

kata-qemu-se - IBM Secure Execution

用于云上部署（Peer Pods）：