Criptografar a memória com clusters de VMs confidenciais

É possível usar o recurso Computação confidencial para criar um cluster do Serviço Gerenciado para Apache Spark com VMs confidenciais para fornecer criptografia de memória in-line.

Requisitos

Um cluster com VMs confidenciais precisa atender aos seguintes requisitos:

• As instâncias de mestre e worker precisam usar um tipo de máquina com suporte da tecnologia de Computação confidencial selecionada. As máquinas com suporte associadas a cada tecnologia incluem:
  • SEV:c4d, c3d, c2d, n2d, g4-standard-48
  • SEV_SNP::n2d
  • TDX:c3-standard-*, a3-highgpu-1g
  • NVIDIA g4-standard-48
• O cluster precisa usar uma das imagens que tenham suporte do Ubuntu.
• O cluster precisa ser criado em uma zona do Compute Engine que ofereça suporte à plataforma de CPU exigida pela tecnologia de Computação confidencial selecionada. Consulte Zonas com suporte.
  • Execute o seguinte comando para listar as CPUs que tenham suporte em uma zona do Compute Engine:

    gcloud compute zones describe ZONE --format="value(availableCpuPlatforms)"
    

Criar um cluster com VMs confidenciais

Use o Google Cloud console, a Google Cloud CLI ou a API do Serviço Gerenciado para Apache Spark para criar um cluster que use VMs confidenciais.

Google Cloud Console do

Para criar um cluster que use VMs confidenciais, conclua as etapas a seguir:

Alguns tipos de máquina necessários para determinadas tecnologias de Computação confidencial podem não estar disponíveis no Google Cloud console. É possível especificar essas configurações usando a CLI gcloud ou a API.

1. Abra a página Criar um cluster do Apache Spark no Compute Engine no Google Cloud console.
2. Em Definir o cluster, selecione uma zona com suporte.
3. Em Configurações avançadas - Infraestrutura, selecione um tipo de máquina de nó mestre e worker com suporte.
4. Em Configurações avançadas - Segurança, selecione "Ativar computação confidencial".
5. Confirme ou especifique outras configurações de cluster e clique em Criar.

Google Cloud CLI

Para criar um cluster que use VMs confidenciais, use o gcloud dataproc clusters create comando com a --confidential-compute-type flag.

gcloud dataproc clusters create CLUSTER_NAME \
    --confidential-compute-type=CONFIDENTIAL_COMPUTING_TECHNOLOGY (such as SEV, SEV_SNP, or TDX) \
    --image-version=UBUNTU_IMAGE_VERSION \
    --zone=ZONE \
    --master-machine-type=MACHINE_TYPE \
    --worker-machine-type=MACHINE_TYPE \
    other args ...

A flag --confidential-compute foi descontinuada. Quando usada, ela é substituída por --confidential-compute-type=SEV.

API REST

Para criar um cluster que use VMs confidenciais, inclua o ConfidentialInstanceConfig como parte de uma clusters.create solicitação. Defina confidentialInstanceType como a tecnologia selecionada, como SEV, SEV_SNP, ou TDX.