Ambiente de execução confiável (TEE)

Ao usar um Ambiente de Execução Confiável (TEE), você protege seu código e dados em um ambiente seguro.

O que é um TEE?

Um Ambiente de Execução Confiável é uma área segregada de memória e CPU que é protegida do resto da CPU usando criptografia. Qualquer código fora desse ambiente não pode ler ou adulterar os dados no TEE. O código autorizado pode manipular os dados dentro do TEE.

O código que é executado dentro do TEE é processado de forma clara, mas é visível de forma criptografada apenas quando algo de fora tenta acessá-lo. O processador de segurança da plataforma incorporado no chip da CPU gerencia essa proteção.

A computação confidencial do Azure tem duas ofertas: uma para rehospedar cargas de trabalho e outra para cargas de trabalho baseadas em enclave para aplicativos desenvolvidos sob medida.

A oferta de rehospedagem usa AMD SEV-SNP (disponibilidade geral) ou Intel Trust Domain Extensions (TDX) (visualização) para criptografar toda a memória de uma VM. Os clientes podem migrar suas cargas de trabalho existentes para a computação confidencial do Azure sem alterações de código ou degradação de desempenho. Esta oferta suporta cargas de trabalho de máquina virtual (VM) e contêiner.

A oferta baseada em enclave fornece recursos de CPU que permitem que o código do cliente use o Intel Software Guard Extensions (SGX) para criar uma região de memória protegida chamada Cache Protegido Criptografado dentro de uma VM. Os clientes podem executar cargas de trabalho confidenciais com fortes garantias de proteção de dados e privacidade. A computação confidencial do Azure introduziu a primeira oferta baseada em enclave em 2020. As aplicações dos clientes precisam de ser especificamente desenvolvidas para tirar partido deste modelo de proteção de dados.

Ambas as tecnologias subjacentes são usadas para fornecer modelos de computação em nuvem confidenciais de infraestrutura como serviço (IaaS) e plataforma como serviço (PaaS) na plataforma Azure, o que torna simples para os clientes adotarem computação confidencial em suas soluções.

Novos designs de unidades de processamento gráfico (GPU) também suportam uma capacidade TEE. Você pode combinar GPUs com segurança com soluções TEE de CPU, como VMs confidenciais, como a oferta da NVIDIA atualmente em visualização, para fornecer IA confiável.

Conteúdo relacionado

Para obter informações técnicas sobre como o TEE é implementado em diferentes hardwares do Azure, consulte:

• VMs confidenciais AMD SEV-SNP
• Intel TDX VMs
• Hardware NVIDIA
• VMs habilitadas para Intel SGX