Amazon EC2 인스턴스용 AMD SEV-SNP
AMD SEV-SNP(AMD Secure Encrypted Virtualization-Secure Nested Paging)는 CPU 기능으로, 다음과 같은 속성을 제공합니다.
-
증명 - AMD SEV-SNP를 사용하면 인스턴스의 상태와 ID를 검증하는 데 사용할 수 있는 암호화 측정값이 포함된 서명된 증명 보고서를 검색하고, 정품 AMD 하드웨어에서 실행되고 있음을 확인할 수 있습니다. 자세한 내용은 AMD SEV-SNP로 Amazon EC2 인스턴스 증명 섹션을 참조하세요.
-
메모리 암호화 - AMD EPYC(Milan), AWS Graviton2 및 인텔 제온 스케일러블(Ice Lake) 프로세서부터 인스턴스 메모리는 항상 암호화됩니다.
Dedicated Host 또는 공유 테넌시에서 AMD SEV-SNP를 사용할 수 있습니다.
개념 및 용어
AMD SEV-SNP를 사용하기 전에 다음 개념과 용어를 숙지해야 합니다.
AMD SEV-SNP 증명 보고서
AMD SEV-SNP 증명 보고서는 인스턴스가 CPU에 요청할 수 있는 문서입니다. AMD SEV-SNP 증명 보고서는 인스턴스의 상태와 ID를 검증하고 승인된 AMD 환경에서 실행 중인지 확인하는 데 사용할 수 있습니다. 보고서에는 초기 인스턴스 메모리 콘텐츠 및 vCPU의 초기 상태를 포함하여 인스턴스의 초기 부팅 상태에 대한 암호화 해시인 시작 측정값이 포함됩니다. AMD SEV-SNP 증명 보고서는 AMD 루트 신뢰 체인으로 연결되는 VCEK 서명(Dedicated Host의 경우) 또는 VLEK 서명(공유 테넌시의 경우)으로 서명됩니다.
VCEK
VCEK(Versioned Chip Endorsement Key)는 AMD에서 인증한 칩별 서명 키로, AMD CPU가 전용 호스트에서 AMD SEV-SNP 증명 보고서에 서명하는 데 사용됩니다. VCEK 서명은 AMD에서 제공하는 인증서를 사용하여 검증할 수 있습니다.
VLEK
VLEK(Versioned Loaded Endorsement Key)는 AMD에서 인증한 버전 관리 서명 키로, AMD CPU가 공유 테넌시에서 AMD SEV-SNP 증명 보고서에 서명하는 데 사용됩니다. VLEK 서명은 AMD에서 제공하는 인증서를 사용하여 확인할 수 있습니다.
OVMF 이진수
OVMF(Open Virtual Machine Firmware)는 인스턴스에 대한 UEFI 환경을 제공하는 데 사용되는 초기 부팅 코드입니다. 초기 부팅 코드는 AMI의 코드가 부팅되기 전에 실행됩니다. 또한 OVMF는 AMI에 제공된 부트 로더를 찾아 실행합니다. 자세한 내용은 OVMF 리포지토리
요구 사항
AMD SEV-SNP 요구 사항은 전용 호스트를 사용하는지 공유 테넌시를 사용하는지에 따라 다릅니다.
전용 호스트 요구 사항
전용 호스트에서 AMD SEV-SNP를 사용하려면 다음 요구 사항을 충족해야 합니다.
-
지원되는 인스턴스 유형 중 하나를 사용해야 합니다.
-
범용:
m6a.large|m6a.xlarge|m6a.2xlarge|m6a.4xlarge|m6a.8xlarge -
컴퓨팅 최적화:
c6a.large|c6a.xlarge|c6a.2xlarge|c6a.4xlarge|c6a.8xlarge|c6a.12xlarge|c6a.16xlarge -
메모리 최적화:
r6a.large|r6a.xlarge|r6a.2xlarge|r6a.4xlarge
-
-
AMD SEV-SNP가 활성화된 전용 호스트를 할당합니다. 자세한 내용은 AMD SEV-SNP가 지원되는 전용 호스트 할당 섹션을 참조하세요.
-
상용 에서 인스턴스를 시작합니다.
-
uefi또는uefi-preferred부팅 모드의 AMI와 AMD SEV-SNP를 지원하는 운영 체제를 사용하세요. AWS의 경우 AMD SEV-SNP는 AL2023, RHEL 9.3, SLES 15 SP4 및 Ubuntu 23.04 이상에서 지원됩니다.
공유 테넌시 요구 사항
공유 테넌시에서 AMD SEV-SNP를 사용하려면 다음 요구 사항을 충족해야 합니다.
-
지원되는 인스턴스 유형 중 하나를 사용해야 합니다.
-
범용:
m6a.large|m6a.xlarge|m6a.2xlarge|m6a.4xlarge|m6a.8xlarge -
컴퓨팅 최적화:
c6a.large|c6a.xlarge|c6a.2xlarge|c6a.4xlarge|c6a.8xlarge|c6a.12xlarge|c6a.16xlarge -
메모리 최적화:
r6a.large|r6a.xlarge|r6a.2xlarge|r6a.4xlarge
-
-
지원되는 AWS 리전(미국 동부(오하이오) 또는 유럽(아일랜드))에서 인스턴스를 시작합니다.
-
uefi또는uefi-preferred부팅 모드의 AMI와 AMD SEV-SNP를 지원하는 운영 체제를 사용하세요. AWS의 경우 AMD SEV-SNP는 AL2023, RHEL 9.3, SLES 15 SP4 및 Ubuntu 23.04 이상에서 지원됩니다.
고려 사항
AMD SEV-SNP는 인스턴스를 시작할 때만 활성화할 수 있습니다. 인스턴스 시작에 대해 AMD SEV-SNP가 활성화되어 있으면 다음 규칙이 적용됩니다.
-
AMD SEV-SNP는 활성화한 이후에 비활성화할 수 없습니다. 인스턴스 수명 주기 동안 활성화됩니다.
-
AMD SEV-SNP를 지원하는 다른 인스턴스 유형으로만 인스턴스 유형을 변경할 수 있습니다.
-
최대 절전 및 Nitro Enclaves는 지원되지 않습니다.
전용 호스트에 대한 추가 고려 사항
전용 호스트에서 AMD SEV-SNP를 사용할 때는 다음 추가 고려 사항이 적용됩니다.
-
펌웨어 업데이트는 호스트를 할당할 때 적용됩니다. 최신 펌웨어를 받으려면 기존 호스트를 반납하고 새 호스트를 할당하세요. 자세한 내용은 AMD SEV-SNP 전용 호스트의 펌웨어 업데이트 섹션을 참조하세요.
-
AMD SEV-SNP를 지원하는 전용 호스트에서는 AMD SEV-SNP를 활성화하거나 비활성화한 상태로 인스턴스를 시작할 수 있습니다.
-
호스트 리소스 그룹 및 전용 호스트 예약이 지원됩니다.
공유 테넌시에 대한 추가 고려 사항
공유 테넌시에서 AMD SEV-SNP를 사용할 때는 다음 추가 고려 사항이 적용됩니다.
-
인스턴스의 기본 호스트가 유지 관리 일정이 예정된 경우 이벤트 14일 전에 예약된 이벤트 알림을 받게 됩니다. 인스턴스를 새 호스트로 이동하려면 인스턴스를 수동으로 중지하거나 다시 시작해야 합니다.
가격 책정
전용 호스트
전용 호스트에서 AMD SEV-SNP를 사용하는 데는 추가 비용이 없습니다. 표준 전용 호스트 요금만 지불하면 됩니다. 자세한 내용은 전용 호스트 요금
공유 테넌시
공유 테넌시에서 AMD SEV-SNP가 활성화된 Amazon EC2 인스턴스를 시작하면 선택한 인스턴스 유형의 온디맨드 시간당 요금
공유 테넌시에서 AMD SEV-SNP가 활성화된 스팟 인스턴스를 시작하도록 구성하면 선택한 인스턴스 유형의 온디맨드 시간당 요금
