使用 SNP 内存加密启动容器

Mon, 01 Jan 0001 00:00:00 +0000

说明： 本文为英文文档的中文译版，英文原版请参见 Container Launch with SNP Memory Encryption。

使用 SNP 内存加密启动容器

启动机密服务

要以 SNP 内存加密方式启动容器，需要显式指定 SNP runtime class，也就是 kata-qemu-snp。这里使用一个提前构建好的 alpine 测试镜像（Dockerfile）。这个镜像已经启用 SSH，并预置了一个用于验证的 SSH 公钥。

下面是一个指定 SNP runtime class 的示例 Service 和 Deployment：

kind: Service
apiVersion: v1
metadata:
  name: "confidential-unencrypted"
spec:
  selector:
    app: "confidential-unencrypted"
  ports:
  - port: 22
---
kind: Deployment
apiVersion: apps/v1
metadata:
  name: "confidential-unencrypted"
spec:
  selector:
    matchLabels:
      app: "confidential-unencrypted"
  template:
    metadata:
      labels:
        app: "confidential-unencrypted"
      annotations:
        io.containerd.cri.runtime-handler: kata-qemu-snp
    spec:
      runtimeClassName: kata-qemu-snp
      containers:
      - name: "confidential-unencrypted"
        image: ghcr.io/kata-containers/test-images:unencrypted-nightly
        imagePullPolicy: Always

把这段 YAML 保存为 confidential-unencrypted.yaml。

Container Launch on Confidential Containers

使用 SNP 内存加密启动容器

使用 SNP 内存加密启动容器

启动机密服务