Amazon EC2 インスタンスの AMD SEV-SNP
AMD Secure Encrypted Virtualization-Secure Nested Paging (AMD SEV-SNP) は以下の特性を持つ CPU 機能です。
-
認証 – AMD SEV-SNP を使用すると、インスタンスの状態と ID に加え、正規の AMD ハードウェアで実行されていることの検証にも使用できる暗号化手段を含む署名済みの認証レポートを取得できます。詳細については、「AMD SEV-SNP による Amazon EC2 インスタンスの認証」を参照してください。
-
メモリの暗号化 — AMD EPYC (Milan)、AWS Graviton2、Intel Xeon Scalable (Ice Lake) プロセッサ以降の CPU ではインスタンスメモリは常に暗号化されます。
AMD SEV-SNP は、専有ホストまたは共有テナンシーで使用できます。
概念と用語
AMD SEV-SNP の使用を開始する前に、次の概念と用語を理解しておきます。
AMD SEV-SNP 認証レポート
AMD SEV-SNP 認証レポートはインスタンスが CPU に要求できる文書です。AMD SEV-SNP 認証レポートを使用して、インスタンスの状態と ID を検証し、認可された AMD 環境で実行されていることを確認できます。レポートには起動測定値が含まれます。起動測定とはインスタンスの初期起動状態の暗号化ハッシュであり、初期インスタンスのメモリ内容と vCPU の初期状態が含まれます。AMD SEV-SNP 認証レポートは、AMD の信頼ルートにチェーンバックする VCEK 署名 (専有ホスト) または VLEK 署名 (共有テナンシー) によって署名されます。
VCEK
バージョニング付きチップ認証鍵 (VCEK) は AMD が認定したチップごとの署名キーであり、専有ホストで AMD SEV-SNP 認証レポートに署名するために AMD CPU によって使用されます。VCEK 署名は AMD が提供する証明書を使用して検証できます。
VLEK
バージョニング付きロード済認証鍵 (VLEK) は AMD が認定したバージョン付き署名キーであり、共有テナンシーで AMD SEV-SNP 認証レポートに署名するために AMD CPU によって使用されます。VLEK 署名はAMD が提供する証明書を使用して検証できます。
OVMF バイナリ
オープン仮想マシンファームウェア (OVMF) はインスタンスに UEFI 環境を提供するために使用されるアーリーブートコードです。アーリーブートコードはAMI のコードが起動する前に実行されます。また、OVMF は AMI で提供されるブートローダーを見つけて実行します。詳細については「OVMF リポジトリ
要件
AMD SEV-SNP の要件は、専有ホストまたは共有テナンシーのいずれかの使用によって異なります。
専有ホストの要件
専有ホストで AMD SEV-SNP を使用するには、次の要件を満たす必要があります。
-
以下のサポートされているインスタンスタイプのいずれかを使用します。
-
汎用::
m6a.large|m6a.xlarge|m6a.2xlarge|m6a.4xlarge|m6a.8xlarge -
コンピューティングの最適化::
c6a.large|c6a.xlarge|c6a.2xlarge|c6a.4xlarge|c6a.8xlarge|c6a.12xlarge|c6a.16xlarge -
メモリの最適化::
r6a.large|r6a.xlarge|r6a.2xlarge|r6a.4xlarge
-
-
AMD SEV-SNP が有効になっている専有ホストを割り当てます。詳細については、「AMD SEV-SNP を持つ専有ホストを割り当てる」を参照してください。
-
任意の商用 AWS リージョン でインスタンスを起動します。
-
AMI は
uefiまたはuefi-preferredブートモードおよび。AMD SEV-SNP をサポートするオペレーティングシステムで使用してください。AWS についてはAMD SEV-SNP は AL2023、RHEL 9.3、SLES 15 SP4、および Ubuntu 23.04 以降でサポートされています。
共有テナンシーの要件
共有テナンシーで AMD SEV-SNP を使用するには、次の要件を満たす必要があります。
-
以下のサポートされているインスタンスタイプのいずれかを使用します。
-
汎用::
m6a.large|m6a.xlarge|m6a.2xlarge|m6a.4xlarge|m6a.8xlarge -
コンピューティングの最適化::
c6a.large|c6a.xlarge|c6a.2xlarge|c6a.4xlarge|c6a.8xlarge|c6a.12xlarge|c6a.16xlarge -
メモリの最適化::
r6a.large|r6a.xlarge|r6a.2xlarge|r6a.4xlarge
-
-
サポートされている AWS リージョン でインスタンスを起動します: 米国東部 (オハイオ) または欧州 (アイルランド)。
-
AMI は
uefiまたはuefi-preferredブートモードおよび。AMD SEV-SNP をサポートするオペレーティングシステムで使用してください。AWS についてはAMD SEV-SNP は AL2023、RHEL 9.3、SLES 15 SP4、および Ubuntu 23.04 以降でサポートされています。
考慮事項
AMD SEV-SNP はインスタンスの起動時にのみ有効にすることができます。インスタンスの起動時に AMD SEV-SNP が有効になっている場合は次のルールが適用されます。
-
有効にした後で、AMD SEV-SNP を無効にすることはできません。インスタンスのライフサイクル全体を通して有効なままになります。
-
インスタンスタイプの変更はAMD SEV-SNP をサポートする別のインスタンスタイプへのみ可能です。
-
休止と Nitro Enclaves はサポートされていません。
専有ホストに関するその他の考慮事項
専有ホストで AMD SEV-SNP を使用する場合、次のその他の考慮事項が適用されます。
-
ファームウェアの更新は、ホストを割り当てるときに適用されます。最新のファームウェアを取得するには、既存のホストを解放して新しいホストを割り当てます。詳細については、「AMD SEV-SNP 専有ホストでファームウェアを更新する」を参照してください。
-
AMD SEV-SNP がサポートされている専有ホストで AMD SEV-SNP が有効になっているかどうかを問わず、インスタンスを起動できます。
-
ホストリソースグループと専有ホスト予約はサポートされています。
共有テナンシーに関するその他の考慮事項
共有テナンシーで AMD SEV-SNP を使用する場合、次のその他の考慮事項が適用されます。
-
インスタンスの基盤となるホストがメンテナンスの予定になっている場合はイベントの 14 日前に予定されているイベント通知が届きます。インスタンスを新しいホストに移動するにはインスタンスを手動で停止または再起動する必要があります。
料金
専用ホスト
専有ホストで AMD SEV-SNP の使用には、追加料金はかかりません。標準の専有ホスト料金のみをお支払いいただきます。詳細については、「専有ホストの料金
共有テナンシー
共有テナンシーで AMD SEV-SNP が有効になっている Amazon EC2 インスタンスを起動すると、選択したインスタンスタイプの時間単位のオンデマンド料金
共有テナンシーで AMD SEV-SNP が有効になっているスポットインスタンスを起動するように設定した場合、選択したインスタンスタイプの時間単位のオンデマンド料金
