业界首个机密计算容器运行时—Inclavare Containers正式进入CNCF！
作者｜彦荣
2021 年 9月 15 日，Inclavare Containers 通过云原生计算基金会（CNCF）TOC 投票正式成为 CNCF 官方沙箱项目。Inclavare Containers 是一个最初由阿里云操作系统安全团队和云原生容器平台团队共同研发，并联合 Intel 共同打造的业界首个面向机密计算场景的开源容器运行时项目。
Inclavare Containers 项目地址：
https://github.com/alibaba/inclavare-containers
首个机密计算开源容器运行时- Inclavare Containers
云原生环境下，机密计算技术基于硬件可执行环境，为用户在使用（计算）过程中的敏感数据提供了机密性和完整性的保护，但是同时也面临着开发、使用和部署门槛高、敏感应用容器化操作复杂、Kubernetes 不提供原生支持、以及缺乏统一的跨云部署方案等一系列问题；而 Inclavare Containers 正是为解决这些问题而生的。
Inclavare Containers 系统架构图
Inclavare Containers 能够与 Kubernetes 和 Docker 进行集成，是业界首个面向机密计算场景的开源容器运行时，其目标是为业界和开源社区提供面向云原生场景的机密容器技术、机密集群技术和通用的远程证明安全架构，并力争成为该领域的事实标准。该项目于 2020 年 5 月开源，短短一年多时间内发展迅速，吸引了众多领域专家和工程师的关注与贡献。
五大特色功能，为用户数据保驾护航
Inclavare Containers 采用了新颖的方法在基于硬件的可信执行环境中启动受保护的容器，以防止不受用户信任的实体访问用户的敏感数据。其核心功能和特点包括：
- 移除对云服务提供商的信任，实现零信任模型：Inclavare Containers 的安全威胁模型假设用户无需信任云服务提供商，即用户工作负载的安全性不再依赖云服务提供商控制的特权组件。
- 提供通用的远程证明安全架构：通过构建通用且跨平台的远程证明安全架构，能够向用户证明其敏感的工作负载是运行在真实可信的基于硬件的可信执行环境中，且硬件的可信执行环境可以基于不同的机密计算技术。
- 定义了通用的 Enclave Runtime API 规范：通过标准的 API 规范来对接各种形态的 Enclave Runtime，在简化特定的 Enclave Runtime 对接云原生生态的同时，也为用户提供了更多的技术选择。目前，Occlum、Graphene 和 WAMR 均为 Inclavare Containers 提供了 Enclave 运行时的支持。
- OCI兼容：Inclavare Containers 项目设计并实现了符合 OCI 运行时规范的新型 OCI 运行时 rune，以便与现有的云原生生态系统保持一致，实现了机密容器形态。用户的敏感应用以机密容器的形式部署和运行，并保持与使用普通容器相同的使用体感。
- 与 Kubernetes 生态无缝整合：Inclavare Containers 可以部署在任何公共云 Kubernetes 平台中，实现了统一的机密容器部署方式。
加速云原生基础设施拥抱机密计算
Inclavare Containers 开源项目致力于通过结合学术界的原创研究和工业界的落地实践能力，加速云原生基础设施拥抱机密计算，通过中立化的社区构建云原生机密计算安全技术架构。除了已经与 Intel 建立了合作关系外，计划在之后与其他芯片厂商陆续建立类似的合作关系；此外，我们已经开始与高校和学术界建立新的合作关系，以挖掘出 Inclavare Containers 在机密计算领域的更多潜能。
作为业界首个面向机密计算场景的开源容器运行时，Inclavare Containers 将向安全、更易用、智能可扩展的架构方向演进。在不断深化实施零信任模型原则的同时，不断提升开发者和用户的使用体验，并最终完全消除与运行普通容器在使用体感上的差异。未来，Inclavare Containers 将继续与社区并肩、与生态同行，致力于推进云原生技术在机密计算系统领域的生态建设和普及，与全球开发者一起拓展云原生的边界。
目前，Inclavare Containers 成为龙蜥社区云原生机密计算 SIG 的项目之一：致力于通过开源社区合作共建的方式，向业界提供开源和标准化的机密计算技术以及安全架构，推动云原生场景下的机密计算技术的发展。
戳下方链接直达云原生机密计算 SIG：
https://openanolis.cn/sig/coco
业界首个机密计算容器运行时—Inclavare Containers正式进入CNCF！相关推荐
- 1.Containerd容器运行时初识与尝试
0x00 前言简述 1.基础介绍 2.专业术语 3.架构简述 0x01 安装配置 1.Ubuntu安装Containerd.io流程 0x02 简单使用 1.镜像拉取与运行 2.创建和使用网络 3.与 ...
- 浅析容器运行时奥秘——OCI标准
导语 容器技术火起来了以后,Docker的容器镜像和容器运行时已然成为行业的标准.此后,为了推进容器生态的健康发展.在Linux基金会的主导下,Docker和各大云厂商Google, Amazon, ...
- 云原生钻石课程 | 第1课：容器运行时技术深度剖析
点击上方"程序猿技术大咖",关注并选择"设为星标" 回复"加群"获取入群讨论资格! 本篇文章来自<华为云云原生王者之路训练营>钻 ...
- 课时 30：理解 RuntimeClass 与使用多容器运行时（贾之光）
本文将主要分享以下三方面的内容: RuntimeClass 需求来源 RuntimeClass 功能介绍 多容器运行时示例 RuntimeClass 需求来源 容器运行时的演进过程 我们首先了解一下容 ...
- 课时 28：理解容器运行时接口 CRI（知谨）
CRI 是 Kubernetes 体系中跟容器打交道的一个非常重要的部分.本文将主要分享以下三方面的内容: CRI 介绍 CRI 实现 相关工具 CRI 介绍 在 CRI 出现之前(也就是 Kuber ...
- 从零开始入门 K8s | 理解容器运行时接口 CRI
作者 | 知谨 阿里云工程师 本文整理自<CNCF x Alibaba 云原生技术公开课>第 28 讲,点击直达课程页面. 关注"阿里巴巴云原生"公众号,回复关键词** ...
- 【容器运行时】一文理解 OCI、runc、containerd、docker、shim进程、cri、kubelet 之间的关系
参考 docker,containerd,runc,docker-shim 之间的关系 Containerd shim 进程 PPID 之谜 内核大神教你从 Linux 进程的角度看 Docker R ...
- 【容器运行时-转载】RunC 是什么？
转载自:RunC 简介 RunC 是什么? RunC 是一个轻量级的工具,它是用来运行容器的,只用来做这一件事,并且这一件事要做好.我们可以认为它就是个命令行小工具,可以不用通过 docker 引擎, ...
- Docker的容器运行时组件Containerd
不久前,Docker宣布开源他们的容器运行时组件Containerd(发音是container-D).目前的Containerd版本是0.2.4,Docker计划在2017年第二季度基于Open Co ...
最新文章
- 刘铁岩谈机器学习：随波逐流的太多，我们需要反思
- Web APi之控制器选择Action方法过程（九）
- apache强制https访问
- android list 比较,LinkedList 和 ArrayList 的区别
- python中模块、函数与各个模块之间的调用
- linux磁盘配额edquota,Linux磁盘配额（Quota）
- jquery的快捷手册
- Arduino控制微小的六足3D打印机器人
- 2021最新微信漫画小程序全开源商业版：带漫画资源，带搭建教程，流量变现利器。附安装说明和源码。
- 如何搭建威纶通触摸屏与S7-200smart之间无线PPI通信？
- 模拟器xposed框架安装7.1-64教程
- H.266/VVC代码学习：帧内预测之角度预测函数(predIntraAng、xPredIntraAng)
- 开机输入用户名密码时弹出被调用对象已与其客户端断开连接解决方法
- ms 真空层_Materials Studio学习
- Yau 近代几何讲座
- 我的hihocoder存代码
- mysql白名单ip通配符
- 遗传算法中常用的选择策略
- 化妆品APP开发快速制作
- Unity踩坑：FindObjectsOfType can only be called from the main thread