Caa on Confidential Containers

AWS

Mon, 01 Jan 0001 00:00:00 +0000

说明： 本文为英文文档的中文译版，英文原版请参见 AWS 示例（英文版）。

本文将介绍如何在 AWS Elastic Kubernetes Service (EKS) 上配置 CAA（即 Peer Pods），具体包括：

一个基于 Elastic Kubernetes Service (EKS) 的单工作节点 Kubernetes 集群
运行在该 Kubernetes 集群上的 CAA
一个由 CAA PodVM 支撑的 Nginx Pod

前提条件

安装所需工具：

安装 kubectl
安装 Helm
安装 aws CLI 工具
安装 eksctl CLI 工具
确保已安装 curl、git 和 jq

AWS 准备工作

为 AWS CLI 访问设置 AWS_ACCESS_KEY_ID、AWS_SECRET_ACCESS_KEY（或 AWS_PROFILE）以及 AWS_REGION

说明： 除了静态凭证外，也可以在 EKS 上使用 IRSA（IAM Roles for Service Accounts）。使用 IRSA 时，CAA Pod 通过 OIDC 完成认证，无需在 Kubernetes Secret 中保存静态 AWS 密钥。集群初始化步骤中仍然需要 AWS_REGION 和临时凭证。

Azure

Mon, 01 Jan 0001 00:00:00 +0000

说明： 本文为英文文档的中文译版，英文原版请参见 Azure 示例（英文版）。

本文将介绍如何在 Azure Kubernetes Service (AKS) 上配置 CAA（即 Peer Pods），具体包括：

一个基于 Azure Kubernetes Service (AKS) 的单工作节点 Kubernetes 集群
运行在该 Kubernetes 集群上的 CAA
一个由 CAA PodVM 支撑的 Nginx Pod

Confidential Containers 也支持将 Azure Key Vault 用作 Trustee 的资源后端。更多信息

前提条件

安装所需工具：

安装 kubectl
安装 Helm
安装 az CLI 工具
确保已安装 curl、git、jq 和 sipcalc

Azure 准备工作

登录 Azure

以下许多步骤均需先登录 Azure 账号：

az login

获取你的订阅 ID：

export AZURE_SUBSCRIPTION_ID=$(az account show --query id --output tsv)

设置区域：

GCP

Mon, 01 Jan 0001 00:00:00 +0000

说明： 本文为英文文档的中文译版，英文原版请参见 GCP 示例（英文版）。

本文将介绍如何在 Google Kubernetes Engine (GKE) 上配置 CAA（即 Peer Pods），具体包括：

一个基于 GKE 的单工作节点 Kubernetes 集群
运行在该 Kubernetes 集群上的 CAA
一个由 CAA PodVM 支持的示例应用

前提条件

安装所需工具：

安装 kubectl
安装 Helm
安装 gcloud CLI 工具

Google Cloud 项目：

确保你已经创建了一个 Google Cloud 项目
记录项目 ID（导出为 GCP_PROJECT_ID）

GCP 准备工作

先完成 Google 认证，并选择要使用的项目：

export GCP_PROJECT_ID="YOUR_PROJECT_ID"
gcloud auth login
gcloud config set project ${GCP_PROJECT_ID}

启用所需 API：

gcloud services enable container.googleapis.com --project=${GCP_PROJECT_ID}

创建一个具备所需权限的服务账号：

gcloud iam service-accounts create peerpods \
  --description="Peerpods Service Account" \
  --display-name="Peerpods Service Account"

gcloud projects add-iam-policy-binding ${GCP_PROJECT_ID} \
  --member="serviceAccount:peerpods@${GCP_PROJECT_ID}.iam.gserviceaccount.com" \
  --role="roles/compute.instanceAdmin.v1"

gcloud projects add-iam-policy-binding ${GCP_PROJECT_ID} \
  --member="serviceAccount:peerpods@${GCP_PROJECT_ID}.iam.gserviceaccount.com" \
  --role="roles/iam.serviceAccountUser"

生成并保存凭证文件：

阿里云

Mon, 01 Jan 0001 00:00:00 +0000

说明： 本文为英文文档的中文译版，英文原版请参见阿里云示例（英文版）。

本文将介绍如何在阿里云容器服务 Kubernetes 版（ACK）和阿里云弹性计算服务（ECS）上部署 CAA（即 Peer Pods），具体包括：

ACK 托管集群中的一个工作节点
运行在该 Kubernetes 集群上的 CAA
一个由运行在 ECS 上 CAA PodVM 支撑的 Nginx Pod

说明： 请在目录 src/cloud-api-adaptor 下运行以下命令。

说明： 当前机密计算实例已在部分地域提供。

说明： 阿里云官方文档可参考这里。

前提条件

安装所需工具：

安装 aliyun CLI 工具并配置凭证
准备一个带 Bucket 的 aliyun OSS 存储

创建 PodVM 镜像

说明： 在 cn-hongkong 地域中，版本 0.22.0 已提供一个预构建的社区镜像（id: m-j6c3kfz2vhu6ze04wacb），可直接用于测试。也可以使用下方导出 PodVM 镜像版本中列出的各地域镜像 ID。

如果你希望自行构建 PodVM 镜像，请按以下步骤操作。当前 PodVM 构建使用 mkosi，目标系统为 Ubuntu 26.04（resolute）。前提条件和自定义选项请参见 PodVM README。

构建 Ubuntu 26.04 PodVM 镜像。