La virtualización cifrada segura y la paginación anidada segura de AMD (SEV-SNP de AMD) es una característica de la CPU que proporciona las siguientes propiedades:
-
Atestación: la SEV-SNP de AMD le permite recuperar un informe de atestación firmado que contiene una medida criptográfica que se puede utilizar para validar el estado y la identidad de la instancia, y que se ejecuta en hardware original de AMD. Para obtener más información, consulte Atestar una instancia de Amazon EC2 con el SEV-SNP de AMD.
-
Cifrado de memoria: a partir de los procesadores AMD EPYC (Milan), AWS Graviton2 e Intel Xeon Scalable (Ice Lake), la memoria de instancias siempre está cifrada. Las instancias que están habilitadas para la SEV-SNP de AMD utilizan una clave específica de la instancia para el cifrado de la memoria.
Temas
Conceptos y terminología
Antes de empezar a utilizar la SEV-SNP de AMD, asegúrese de conocer los siguientes conceptos y terminología:
Informe de certificación de SEV-SNP de AMD
El informe de atestación de SEV-SNP de AMD es un documento que una instancia puede solicitar a la CPU. El informe de atestación de SEV-SNP de AMD se puede utilizar para validar el estado y la identidad de una instancia y para comprobar que se ejecuta en un entorno de AMD autorizado. El informe incluye una medición de inicialización, que es un hash criptográfico del estado de arranque inicial de una instancia, incluido el contenido de la memoria de la instancia inicial y el estado inicial de las CPU virtuales. El informe de atestación de SEV-SNP de AMD está firmado con una firma VLEK que se remonta a una raíz de confianza de AMD.
VLEK
La clave de aprobación cargada y versionada (VLEK) es una clave de firma versionada certificada por AMD. La utiliza la CPU de AMD para firmar los informes de atestación de SEV-SNP de AMD. Las firmas VLEK se pueden validar mediante certificados proporcionados por AMD.
OVMF binario
El firmware de máquina virtual abierta (OVMF) es el código de arranque anticipado que se utiliza para proporcionar un entorno UEFI para la instancia. El código de arranque anticipado se ejecuta antes de que se inicie el código de la AMI. El OVMF también busca y ejecuta el gestor de arranque que se proporciona en la AMI. Para obtener más información, consulte el Repositorio de OVMF
Requisitos
Para utilizar la SEV-SNP de AMD, debe hacer lo siguiente:
-
Utilice uno de los siguientes tipos de instancia admitidos:
-
De uso general:
m6a.large|m6a.xlarge|m6a.2xlarge|m6a.4xlarge|m6a.8xlarge -
Optimizadas para la computación:
c6a.large|c6a.xlarge|c6a.2xlarge|c6a.4xlarge|c6a.8xlarge|c6a.12xlarge|c6a.16xlarge -
Optimizadas para memoria:
r6a.large|r6a.xlarge|r6a.2xlarge|r6a.4xlarge
-
-
Lance su instancia en una Región de AWS compatible. Actualmente, solo se admiten Este de EE. UU. (Ohio) y Europa (Irlanda).
-
Utilice una AMI con modo de arranque
uefiouefi-preferredy un sistema operativo compatible con la SEV-SNP de AMD. Para obtener más información sobre la compatibilidad con la SEV-SNP de AMD en su sistema operativo, consulte la documentación del sistema operativo correspondiente. En el caso de AWS, la SEV-SNP de AMD es compatible con AL2023, RHEL 9.3, SLES 15 SP4 y Ubuntu 23.04 y versiones posteriores.
Consideraciones
Solo puede habilitar la SEV-SNP de AMD cuando inicia una instancia. Cuando el SEV-SNP de AMD esté habilitado para la inicialización de la instancia, se aplicarán las siguientes reglas.
-
Una vez habilitado, no se puede deshabilitar el SEV-SNP de AMD. Permanece habilitado durante todo el ciclo de vida de la instancia.
-
Sólo puede cambiar el tipo de instancia por otro que admita SEV-SNP de AMD.
-
No se admiten Hibernation ni Nitro Enclaves.
-
No se admiten los hosts dedicados.
-
Si el host subyacente de su instancia está programado para mantenimiento, recibirá una notificación de evento programado 14 días antes del evento. Debe detener o reiniciar la instancia manualmente para moverla a un nuevo host.
Precios
Al iniciar una instancia de Amazon EC2 con el SEV-SNP de AMD habilitado, se le cobrará una tarifa de uso por hora adicional que equivale al 10 por ciento de la tarifa horaria bajo demanda
Esta tarifa de uso de la SEV-SNP de AMD es un cargo independiente del uso de la instancia de Amazon EC2. Las instancias reservadas, Savings Plans y el uso del sistema operativo no afectan a esta tarifa.
Si configura una instancia de spot para iniciarla con el SEV-SNP de AMD habilitado, se le cobrará una tarifa de uso por hora adicional que equivale al 10 por ciento de la tarifa horaria bajo demanda
