View a markdown version of this page

AMD SEV-SNP für Amazon EC2 EC2-Instances - Amazon Elastic Compute Cloud
Konzepte und TerminologieVoraussetzungenÜberlegungenPreisgestaltung

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

AMD SEV-SNP für Amazon EC2 EC2-Instances

AMD Secure Encrypted Virtualization-Secure Nested Paging (AMD SEV-SNP) ist eine CPU-Funktion, die die folgenden Eigenschaften bietet:

  • Bescheinigung — AMD SEV-SNP ermöglicht es Ihnen, einen signierten Bestätigungsbericht abzurufen, der eine kryptografische Maßnahme enthält, anhand derer der Status und die Identität der Instanz überprüft werden können und ob sie auf originaler AMD-Hardware ausgeführt wird. Weitere Informationen finden Sie unter Bestätigen Sie eine Amazon EC2 EC2-Instance mit AMD SEV-SNP.

  • Speicherverschlüsselung — Ab den Prozessoren AMD EPYC (Milan), AWS Graviton2 und Intel Xeon Scalable (Ice Lake) ist der Instance-Speicher immer verschlüsselt.

Sie können AMD SEV-SNP mit Dedicated Hosts oder mit Shared Tenancy verwenden.

Inhalt

Konzepte und Terminologie

Bevor Sie mit der Verwendung von AMD beginnen SEV-SNP, stellen Sie sicher, dass Sie mit den folgenden Konzepten und der Terminologie vertraut sind.

SEV-SNP AMD-Bestätigungsbericht

Der SEV-SNP AMD-Bestätigungsbericht ist ein Dokument, das eine Instanz von der CPU anfordern kann. Der SEV-SNP AMD-Bestätigungsbericht kann verwendet werden, um den Status und die Identität einer Instanz zu überprüfen und zu überprüfen, ob sie in einer genehmigten AMD-Umgebung ausgeführt wird. Der Bericht enthält eine Startmessung, bei der es sich um einen kryptografischen Hash des anfänglichen Startstatus einer Instance handelt, einschließlich des ursprünglichen Speicherinhalts der Instance und des Anfangsstatus der vCPUs. Der SEV-SNP AMD-Bestätigungsbericht ist entweder mit einer VCEK-Signatur (auf Dedicated Hosts) oder einer VLEK-Signatur (auf Shared Tenancy) signiert, die auf eine AMD-Vertrauensbasis zurückführt.

VCEK

Der Versioned Chip Endorsement Key (VCEK) ist ein von AMD zertifizierter Signaturschlüssel pro Chip, der von der AMD-CPU zum Signieren der AMD-Bestätigungsberichte auf Dedicated Hosts verwendet wird. SEV-SNP VCEK-Signaturen können mit von AMD bereitgestellten Zertifikaten validiert werden.

VLEK

Der Versioned Loaded Endorsement Key (VLEK) ist ein versionierter Signaturschlüssel, der von AMD zertifiziert ist und von der AMD-CPU zum Signieren der AMD-Bescheinigungsberichte über Shared Tenancy verwendet wird. SEV-SNP VLEK-Signaturen können mit den von AMD bereitgestellten Zertifikaten validiert werden.

OVMF-Binärdatei

OVMF (Open Virtual Machine Firmware) ist der Frühstartcode, der verwendet wird, um eine UEFI-Umgebung für die Instance bereitzustellen. Der Frühstartcode wird ausgeführt, bevor der Code im AMI gestartet wird. Die OVMF findet und führt auch das im AMI bereitgestellte Startladeprogramm aus. Weitere Informationen finden Sie im OMVF-Repository.

Voraussetzungen

Die Anforderungen für AMD SEV-SNP hängen davon ab, ob Sie Dedicated Hosts oder Shared Tenancy verwenden.

Anforderungen für Dedicated Hosts

Um AMD SEV-SNP mit Dedicated Hosts verwenden zu können, müssen Sie die folgenden Anforderungen erfüllen:

  • Verwenden Sie einen der folgenden unterstützten Instance-Typen:

    • Universell: m6a.large | m6a.xlarge | m6a.2xlarge | m6a.4xlarge | m6a.8xlarge

    • Für Datenverarbeitung optimiert: c6a.large | c6a.xlarge | c6a.2xlarge | c6a.4xlarge | c6a.8xlarge | c6a.12xlarge | c6a.16xlarge

    • Speicheroptimiert: r6a.large | r6a.xlarge | r6a.2xlarge | r6a.4xlarge

  • Weisen Sie einen Dedicated Host mit SEV-SNP aktiviertem AMD zu. Weitere Informationen finden Sie unter Weisen Sie AMD einen Dedicated Host zu SEV-SNP.

  • Starten Sie Ihre Instance in einem beliebigen Werbespot AWS-Region.

  • Verwenden Sie ein AMI mit uefi oder uefi-preferred Boot-Modus und ein Betriebssystem, das AMD unterstützt SEV-SNP. Denn AWS AMD SEV-SNP wird auf AL2023, RHEL 9.3, SLES 15 SP4 und Ubuntu 23.04 und höher unterstützt.

Voraussetzungen für ein geteiltes Mietverhältnis

Um AMD SEV-SNP mit Shared Tenancy nutzen zu können, müssen Sie die folgenden Anforderungen erfüllen:

  • Verwenden Sie einen der folgenden unterstützten Instance-Typen:

    • Universell: m6a.large | m6a.xlarge | m6a.2xlarge | m6a.4xlarge | m6a.8xlarge

    • Für Datenverarbeitung optimiert: c6a.large | c6a.xlarge | c6a.2xlarge | c6a.4xlarge | c6a.8xlarge | c6a.12xlarge | c6a.16xlarge

    • Speicheroptimiert: r6a.large | r6a.xlarge | r6a.2xlarge | r6a.4xlarge

  • Starten Sie Ihre Instance in einem unterstützten Land AWS-Region: USA Ost (Ohio) oder Europa (Irland).

  • Verwenden Sie ein AMI mit uefi oder uefi-preferred Boot-Modus und ein Betriebssystem, das AMD unterstützt SEV-SNP. Denn AWS AMD SEV-SNP wird auf AL2023, RHEL 9.3, SLES 15 SP4 und Ubuntu 23.04 und höher unterstützt.

Überlegungen

Sie können AMD nur aktivieren, SEV-SNP wenn Sie eine Instance starten. Wenn AMD für den Start Ihrer Instance aktiviert SEV-SNP ist, gelten die folgenden Regeln.

  • Nach der Aktivierung SEV-SNP kann AMD nicht mehr deaktiviert werden. Es bleibt während des gesamten Instance-Lebenszyklus aktiviert.

  • Sie können den Instance-Typ nur in einen anderen Instance-Typ ändern, der AMD unterstützt SEV-SNP.

  • Ruhezustand und Nitro Enclaves werden nicht unterstützt.

Zusätzliche Überlegungen zu Dedicated Hosts

Die folgenden zusätzlichen Überlegungen gelten, wenn Sie AMD SEV-SNP mit Dedicated Hosts verwenden:

  • Firmware-Updates werden angewendet, wenn Sie einen Host zuweisen. Um die neueste Firmware zu erhalten, geben Sie den vorhandenen Host frei und weisen Sie einen neuen zu. Weitere Informationen finden Sie unter Aktualisieren Sie die Firmware auf einem AMD Dedicated Host SEV-SNP.

  • Sie können Instances mit oder ohne SEV-SNP AMD-Aktivierung auf einem Dedicated Host starten, der SEV-SNP AMD-Unterstützung bietet.

  • Host-Ressourcengruppen und Dedicated Host-Reservierungen werden unterstützt.

Zusätzliche Überlegungen zum gemeinsamen Mietverhältnis

Die folgenden zusätzlichen Überlegungen gelten, wenn Sie AMD SEV-SNP mit geteiltem Mietverhältnis verwenden:

  • Wenn für den zugrundeliegenden Host Ihrer Instance eine Wartung geplant ist, erhalten Sie 14 Tage im Voraus eine Benachrichtigung über ein geplantes Ereignis. Sie müssen Ihre Instance manuell stoppen oder neu starten, um sie auf einen neuen Host zu verschieben.

Preisgestaltung

Dedicated Hosts

Für die Nutzung von AMD SEV-SNP auf Dedicated Hosts fallen keine zusätzlichen Gebühren an. Sie zahlen nur den Standardpreis für Dedicated Hosts. Weitere Informationen finden Sie unter Preise für Dedicated Hosts.

Gemeinsames Mietverhältnis

Wenn Sie eine Amazon EC2 EC2-Instance starten, bei der AMD Shared Tenancy SEV-SNP aktiviert ist, wird Ihnen eine zusätzliche Nutzungsgebühr pro Stunde berechnet, die 10 Prozent des On-Demand Stundensatzes des ausgewählten Instance-Typs entspricht. Diese SEV-SNP AMD-Nutzungsgebühr ist eine separate Gebühr für Ihre Amazon EC2 EC2-Instance-Nutzung. Reserved Instances, Savings Plans und die Nutzung des Betriebssystems haben keinen Einfluss auf diese Gebühr.

Wenn Sie eine Spot-Instance so konfigurieren, dass sie mit SEV-SNP aktiviertem AMD auf Shared Tenancy gestartet wird, wird Ihnen eine zusätzliche Nutzungsgebühr pro Stunde berechnet, die 10 Prozent des On-Demand Stundensatzes des ausgewählten Instance-Typs entspricht. Wenn die Zuweisungsstrategie den Preis als Eingabewert verwendet, berücksichtigt die Spot-Flotte diese zusätzliche Gebühr nicht. Es wird nur der Spot-Preis verwendet.