AWSは「Nitro Enclaves」を発表し、高度に安全なデータ処理を容易にしました。

Nitro Enclaveは、EC2インスタンスを管理するAWSのNitroハイパーバイザーの新機能です。これは、高度に安全で、しばしば暗号化されたデータを処理するために使用される、別々の隔離された環境をプロビジョニングできるようにします。

孤立した環境でのデータ処理

Nitro EnclavesはEC2の新しい機能です。各Enclaveは親としてEC2インスタンスを必要とします；これはEBSドライブやアクセラレータカードのようなアタッチメントだと考えることができます。

これらのNitro Enclavesは実際には非常に安全です。彼らは完全に孤立しており、誰も、あなた自身や管理者でさえ、SSH経由で直接それらやその上で実行されているプロセスにアクセスすることはできません。外部ネットワーク接続はなく、親サーバーのみがエンクレーブと通信でき、しかもローカルネットワークソケットを介してのみです。これは、親サーバーが暗号化されたデータを処理するように設定できることを意味し、そのデータがそのサーバーのスコープに入ることは決してありません。

このように機能します: 敏感なデータを処理する必要がある親インスタンスにリクエストが届きます。ローカルで処理するのではなく、エンクレーブに送信されます。技術的には分離されていますが、親サーバーの特別な保護された部分のように考えることができます。エンクレーブは、AWSのキー管理サービスから復号化キーを取得し、データを復号化し、処理後にレスポンスを送信します。

エンクレーブは「EC2インスタンスのCPUとメモリを分割することによって作成されます。」例えば、16コア64GBのマシンがある場合、4コアと32GBをエンクレーブに専用することができます。

それにもかかわらず、Nitro Hypervisorは、親インスタンスとエンクレーブの間に、同じホスト上のあなたのインスタンスと他の誰かのインスタンスの間と同じ制限をCPUおよびメモリアクセスに適用します。二つの接続をつなぐ唯一のものは、ローカルvsock接続です。

AWSのキー管理サービスとの統合は非常に便利です。KMSは、機密性の高い復号キーへのアクセスを追跡、ローテーション、管理するために使用できます。この統合は「暗号的証明書」を使用しており、Nitroハイパーバイザーがエンクレーブの身元をKMSに証明するための署名付き証明書を生成します。これには、イメージファイルのハッシュ、イメージファイル署名証明書、Linuxカーネルのハッシュ、親のIAMロール、および親のIDが含まれます。すべてが構成と一致しなければならず、そうでない場合、KMSへのリクエストは通過しません。もし興味があれば、Nitroが提供する暗号的証明書プロセスを示すサンプルツールがあります。

Nitro Enclavesの使い方

使用するには、設定が有効になったインスタンスを起動する必要があります。

その後、Dockerfileからイメージをビルドし、CLIを使用してエンクレーブを作成する必要があります。さらに詳しく学ぶには、AWSのブログやYouTubeチュートリアルの入門ガイドを読むことができます。

その後、おそらくKMSを安全に使用するために、KMS証明を設定する必要があります。