针对有强安全诉求的业务场景,例如区块链、密钥管理等,ACK提供了基于硬件加密技术的云原生一站式机密计算容器平台,支持将重要数据和代码放在一个特殊的可信执行加密环境中,避免在使用过程中被恶意窥探和窃取,减少敏感数据泄露风险。您可以在控制台创建机密计算托管集群,以更好地保护数据使用过程中的机密性,同时降低可信或机密应用的开发和管理成本。
前提条件
使用限制
限制项 | 说明 | 配额申请链接/相关文档 | |
费用 | 用户账户至少需要有100元的余额并通过实名认证,否则无法创建按量付费的ECS实例和负载均衡。 | ||
网络 | ACK集群仅支持专有网络VPC。 | ||
云资源 | ECS实例 | 仅支持创建按量付费和包年包月的ECS实例。实例创建后,您可以通过ECS管理控制台将按量付费转预付费。 | |
VPC路由条目 | 每个账户初始默认状况下VPC路由条目不超过200条,当ACK集群的网络模式是Flannel时,集群的路由条目最大不能超过200个(网络模式是Terway则不受该影响)。如集群需要更多路由条目数,您需要对目标VPC申请提高配额 。 | ||
安全组 | 每个账号默认最多可以创建100个安全组。 | ||
负载均衡实例 | 每个账号默认最多可以创建60个按量付费的负载均衡实例。 | ||
EIP | 每个账号默认最多可以创建20个EIP。 |
操作步骤
登录容器服务管理控制台,在左侧导航栏选择集群。
单击集群模板,在托管集群区域选择加密计算托管集群,并单击创建。
在ACK 托管集群页面,完成集群配置项的配置。
您可以参见创建ACK托管集群了解配置项的全量说明。下表介绍创建加密计算托管集群时必须遵守的配置,否则创建的集群将无法支持运行Intel SGX应用。
配置项
说明
加密计算
保持开启集群的加密计算能力。
可用区
目前仅规格族为安全增强计算型c7t、安全增强通用型g7t、安全增强内存型r7t的实例规格支持加密计算集群,请确保所选可用区包含这些实例规格。关于ECS实例规格可购买地域和可用区的更多信息,请参见ECS实例规格可购买地域总览。
容器运行时
containerd 1.4.4及以上版本。
实例规格
选择规格族为安全增强计算型c7t、安全增强通用型g7t、安全增强内存型r7t的实例规格。
说明Intel IceLake仅支持基于Intel SGX DCAP的远程证明方式,不支持基于Intel EPID方式的远程证明方式,您的程序可能需要适配后才能正常使用远程证明功能。关于远程证明的更多信息,请参见attestation-services。
操作系统类型
Alibaba Cloud Linux 2.xxxx 64位UEFI版。
网络插件
仅支持使用Flannel。
按照页面指引创建完成后,确认集群配置信息,仔细阅读并选中服务协议,然后单击创建集群。
集群创建成功后,您可以在容器服务管理控制台的集群列表页面查看所创建的集群。
说明一个包含多节点的集群的创建时间一般约为十分钟。
相关文档
您可以创建加密计算节点池,节点池中的节点默认支持ACK TEE机密计算能力,请参见创建加密计算节点池。
部署完成后,您可以参见通过SDK开发和构建SGX2.0应用,基于TEE-SDK开发、构建并部署一个SGX2.0示例应用。
您还可以创建TDX机密虚拟机计算节点池,使现有集群具备TDX机密计算能力,请参见创建TDX机密虚拟机计算节点池。
部署完成后,您可以基于Stable Diffusion XL Turbo模型,体验如何基于g8i CPU实例获得类似于GPU实例的使用体验,请参见使用CPU加速Stable Diffusion XL Turbo的文生图推理。