View a markdown version of this page

AMD SEV-SNP für Amazon EC2-Instanzen - Amazon Elastic Compute Cloud
Konzepte und TerminologieVoraussetzungenÜberlegungenPreisgestaltung

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

AMD SEV-SNP für Amazon EC2-Instanzen

AMD Secure Encrypted Virtualization-Secure Nested Paging (AMD SEV-SNP) ist eine CPU-Funktion, die die folgenden Eigenschaften bietet:

  • Bestätigung — AMD SEV-SNP ermöglicht es Ihnen, einen signierten Bestätigungsbericht abzurufen, der eine kryptografische Kennzahl enthält, anhand derer der Status und die Identität der Instanz überprüft werden können. Außerdem wird bestätigt, dass sie auf echter AMD-Hardware ausgeführt wird. Weitere Informationen finden Sie unter Bestätigen Sie eine Amazon EC2-Instance mit AMD SEV-SNP.

  • Speicherverschlüsselung — Ab AMD EPYC (Milan), AWS Graviton2 und Intel Xeon Scalable (Ice Lake) Prozessoren ist der Instanzspeicher immer verschlüsselt.

Sie können AMD SEV-SNP mit Dedicated Hosts oder mit Shared Tenancy verwenden.

Inhalt

Konzepte und Terminologie

Bevor Sie mit der Verwendung von AMD beginnen SEV-SNP, stellen Sie sicher, dass Sie mit den folgenden Konzepten und Begriffen vertraut sind.

SEV-SNP AMD-Testbericht

Der SEV-SNP AMD-Bestätigungsbericht ist ein Dokument, das eine Instanz von der CPU anfordern kann. Der SEV-SNP AMD-Bestätigungsbericht kann verwendet werden, um den Status und die Identität einer Instanz zu überprüfen und um zu überprüfen, ob sie in einer genehmigten AMD-Umgebung ausgeführt wird. Der Bericht enthält eine Startmessung, bei der es sich um einen kryptografischen Hash des anfänglichen Startstatus einer Instance handelt, einschließlich des ursprünglichen Speicherinhalts der Instance und des Anfangsstatus der vCPUs. Der SEV-SNP AMD-Bestätigungsbericht ist entweder mit einer VCEK-Signatur (bei Dedicated Hosts) oder einer VLEK-Signatur (bei Shared Tenancy) signiert, die auf einen AMD-Vertrauensstamm zurückgeht.

VCEK

Der Versioned Chip Endorsement Key (VCEK) ist ein von AMD zertifizierter Signaturschlüssel pro Chip, der von der AMD-CPU zum Signieren der AMD-Testberichte auf Dedicated Hosts verwendet wird. SEV-SNP VCEK-Signaturen können mit von AMD bereitgestellten Zertifikaten validiert werden.

VLEK

Der Versioned Loaded Endorsement Key (VLEK) ist ein versionierter Signaturschlüssel, der von AMD zertifiziert ist und von der AMD-CPU zur Unterzeichnung der AMD-Bescheinigungsberichte über gemeinsame Mietverhältnisse verwendet wird. SEV-SNP VLEK-Signaturen können mit den von AMD bereitgestellten Zertifikaten validiert werden.

OVMF-Binärdatei

OVMF (Open Virtual Machine Firmware) ist der Frühstartcode, der verwendet wird, um eine UEFI-Umgebung für die Instance bereitzustellen. Der Frühstartcode wird ausgeführt, bevor der Code im AMI gestartet wird. Die OVMF findet und führt auch das im AMI bereitgestellte Startladeprogramm aus. Weitere Informationen finden Sie im OMVF-Repository.

Voraussetzungen

Die Anforderungen für AMD SEV-SNP hängen davon ab, ob Sie Dedicated Hosts oder Shared Tenancy verwenden.

Anforderungen für Dedicated Hosts

Um AMD SEV-SNP mit Dedicated Hosts verwenden zu können, müssen Sie die folgenden Anforderungen erfüllen:

  • Verwenden Sie einen der folgenden unterstützten Instance-Typen:

    • Universell: m6a.large | m6a.xlarge | m6a.2xlarge | m6a.4xlarge | m6a.8xlarge

    • Für Datenverarbeitung optimiert: c6a.large | c6a.xlarge | c6a.2xlarge | c6a.4xlarge | c6a.8xlarge | c6a.12xlarge | c6a.16xlarge

    • Speicheroptimiert: r6a.large | r6a.xlarge | r6a.2xlarge | r6a.4xlarge

  • Weisen Sie einen Dedicated Host zu, auf dem AMD SEV-SNP aktiviert ist. Weitere Informationen finden Sie unter Weisen Sie AMD einen Dedicated Host zu SEV-SNP.

  • Starten Sie Ihre Instance in einem beliebigen Werbespot AWS-Region.

  • Verwenden Sie ein AMI mit uefi oder im uefi-preferred Startmodus und ein Betriebssystem, das AMD unterstützt SEV-SNP. Denn AWS AMD SEV-SNP wird auf AL2023, RHEL 9.3, SLES 15 SP4 und Ubuntu 23.04 und höher unterstützt.

Voraussetzungen für ein gemeinsames Mietverhältnis

Um AMD SEV-SNP mit Shared Tenancy verwenden zu können, müssen Sie die folgenden Anforderungen erfüllen:

  • Verwenden Sie einen der folgenden unterstützten Instance-Typen:

    • Universell: m6a.large | m6a.xlarge | m6a.2xlarge | m6a.4xlarge | m6a.8xlarge

    • Für Datenverarbeitung optimiert: c6a.large | c6a.xlarge | c6a.2xlarge | c6a.4xlarge | c6a.8xlarge | c6a.12xlarge | c6a.16xlarge

    • Speicheroptimiert: r6a.large | r6a.xlarge | r6a.2xlarge | r6a.4xlarge

  • Starten Sie Ihre Instance in einem unterstützten AWS-Region Land: USA Ost (Ohio) oder Europa (Irland).

  • Verwenden Sie ein AMI mit uefi oder im uefi-preferred Startmodus und ein Betriebssystem, das AMD unterstützt SEV-SNP. Denn AWS AMD SEV-SNP wird auf AL2023, RHEL 9.3, SLES 15 SP4 und Ubuntu 23.04 und höher unterstützt.

Überlegungen

Sie können AMD nur aktivieren, SEV-SNP wenn Sie eine Instance starten. Wenn AMD für den Start Ihrer Instance aktiviert SEV-SNP ist, gelten die folgenden Regeln.

  • Nach der Aktivierung SEV-SNP kann AMD nicht mehr deaktiviert werden. Es bleibt während des gesamten Instance-Lebenszyklus aktiviert.

  • Sie können den Instance-Typ nur in einen anderen Instance-Typ ändern, der AMD unterstützt SEV-SNP.

  • Ruhezustand und Nitro Enclaves werden nicht unterstützt.

Zusätzliche Überlegungen für Dedicated Hosts

Die folgenden zusätzlichen Überlegungen gelten, wenn Sie AMD SEV-SNP mit Dedicated Hosts verwenden:

  • Firmware-Updates werden angewendet, wenn Sie einen Host zuweisen. Um die neueste Firmware zu erhalten, geben Sie den vorhandenen Host frei und weisen Sie einen neuen zu. Weitere Informationen finden Sie unter Aktualisieren Sie die Firmware auf einem AMD Dedicated Host SEV-SNP.

  • Sie können Instances mit oder ohne SEV-SNP aktiviertes AMD auf einem Dedicated Host starten, der SEV-SNP AMD-Unterstützung bietet.

  • Host-Ressourcengruppen und Reservierungen für dedizierte Hosts werden unterstützt.

Zusätzliche Überlegungen zur gemeinsamen Nutzung von Mietverhältnissen

Die folgenden zusätzlichen Überlegungen gelten, wenn Sie AMD SEV-SNP mit einem gemeinsamen Mietverhältnis verwenden:

  • Wenn für den zugrundeliegenden Host Ihrer Instance eine Wartung geplant ist, erhalten Sie 14 Tage im Voraus eine Benachrichtigung über ein geplantes Ereignis. Sie müssen Ihre Instance manuell stoppen oder neu starten, um sie auf einen neuen Host zu verschieben.

Preisgestaltung

Dedicated Hosts

Für die Nutzung von AMD SEV-SNP auf Dedicated Hosts fallen keine zusätzlichen Gebühren an. Sie zahlen nur den Standardpreis für Dedicated Hosts. Weitere Informationen finden Sie unter Preise für Dedicated Hosts.

Gemeinsames Mietverhältnis

Wenn Sie eine Amazon EC2-Instance starten, bei der AMD auf Shared Tenancy SEV-SNP aktiviert ist, wird Ihnen eine zusätzliche stündliche Nutzungsgebühr in Rechnung gestellt, die 10 Prozent des On-Demand Stundensatzes des ausgewählten Instance-Typs entspricht. Diese SEV-SNP AMD-Nutzungsgebühr ist eine separate Gebühr für Ihre Amazon EC2-Instance-Nutzung. Reserved Instances, Savings Plans und die Nutzung des Betriebssystems haben keinen Einfluss auf diese Gebühr.

Wenn Sie eine Spot-Instance so konfigurieren, dass sie mit SEV-SNP aktiviertem AMD auf Shared Tenancy gestartet wird, wird Ihnen eine zusätzliche stündliche Nutzungsgebühr in Rechnung gestellt, die 10 Prozent des On-Demand Stundensatzes des ausgewählten Instance-Typs entspricht. Wenn die Zuweisungsstrategie den Preis als Eingabewert verwendet, berücksichtigt die Spot-Flotte diese zusätzliche Gebühr nicht. Es wird nur der Spot-Preis verwendet.