View a markdown version of this page

AMD SEV-SNP para instâncias do Amazon EC2 - Amazon Elastic Compute Cloud
Conceitos e terminologiaRequisitosConsideraçõesPreços

AMD SEV-SNP para instâncias do Amazon EC2

O AMD Secure Encrypted Virtualization-Secure Nested Paging (AMD SEV-SNP) é um recurso de CPU que fornece as seguintes propriedades:

  • Declaração: o AMD SEV-SNP permite que você recupere um relatório de declaração assinado que contém uma medida criptográfica que pode ser usada para validar o estado e a identidade da instância e se ela está sendo executada em hardware original da AMD. Para obter mais informações, consulte Atestar uma instância do Amazon EC2 com o AMD SEV-SNP.

  • Criptografia de memória: começando com os processadores AMD EPYC (Milan), AWS Graviton2 e Intel Xeon Scalable (Ice Lake), a memória da instância é sempre criptografada.

Você pode usar o AMD SEV-SNP com hosts dedicados ou com locação compartilhada.

Conteúdo

Conceitos e terminologia

Antes de começar a usar o AMD SEV-SNP, certifique-se de estar familiarizado com os conceitos e a terminologia a seguir.

Relatório de declaração AMD SEV-SNP

O relatório de declaração AMD SEV-SNP é um documento que uma instância pode solicitar para a CPU. O relatório de declaração AMD SEV-SNP pode ser usado para validar o estado e a identidade de uma instância e para verificar se ela está sendo executada em um ambiente AMD sancionado. O relatório inclui uma medição de inicialização, que é um hash criptográfico do estado inicial de inicialização de uma instância, incluindo o conteúdo da memória da instância inicial e o estado inicial das vCPUs. O relatório de declaração AMD SEV-SNP é assinado com uma assinatura VCEK (em hosts dedicados) ou uma assinatura VLEK (em locação compartilhada) que remonta a uma raiz de confiança da AMD.

VCEK

A Versioned Chip Endossement Key (VCEK) é uma chave de assinatura por chip certificada pela AMD e usada pela CPU da AMD para assinar os relatórios de declaração do AMD SEV-SNP em hosts dedicados. As assinaturas VCEK podem ser validadas usando certificados fornecidos pela AMD.

VLEK

A Versioned Loaded Endossement Key (VLEK) é uma chave de assinatura versionada certificada pela AMD e usada pela CPU da AMD para assinar os relatórios de declaração do AMD SEV-SNP em locação compartilhada. As assinaturas VLEK podem ser validadas usando certificados fornecidos pela AMD.

Binário OVMF

O Open Virtual Machine Firmware (OVMF) é o código de inicialização antecipada usado para fornecer um ambiente UEFI para a instância. O código de inicialização antecipada é executado antes que o código na AMI seja inicializado. O OVMF também encontra e executa o carregador de inicialização fornecido na AMI. Para obter mais informações, consulte o repositório do OVMF.

Requisitos

Os requisitos do AMD SEV-SNP dependem de você usar hosts dedicados ou locação compartilhada.

Requisitos para hosts dedicados

Para usar o AMD SEV-SNP com hosts dedicados, você deve atender aos seguintes requisitos:

  • Use um dos seguintes tipos de instância com suporte:

    • Uso geral: m6a.large | m6a.xlarge | m6a.2xlarge | m6a.4xlarge | m6a.8xlarge

    • Otimizadas para computação: c6a.large | c6a.xlarge | c6a.2xlarge | c6a.4xlarge | c6a.8xlarge | c6a.12xlarge | c6a.16xlarge

    • Otimizadas para memória: r6a.large | r6a.xlarge | r6a.2xlarge | r6a.4xlarge

  • Alocar um Host dedicado com o AMD SEV-SNP habilitado. Para obter mais informações, consulte Alocar um Host dedicado com o AMD SEV-SNP..

  • Executar sua instância em qualquer Região da AWS comercial.

  • Use uma AMI com modo de inicialização uefi ou uefi-preferred e um sistema operacional com suporte a AMD SEV-SNP. Na AWS, o AMD SEV-SNP é compatível com AL2023, RHEL 9.3, SLES 15 SP4 e Ubuntu 23.04 e posterior.

Requisitos para locação compartilhada

Para usar o AMD SEV-SNP com locação compartilhada, você deve atender aos seguintes requisitos:

  • Use um dos seguintes tipos de instância com suporte:

    • Uso geral: m6a.large | m6a.xlarge | m6a.2xlarge | m6a.4xlarge | m6a.8xlarge

    • Otimizadas para computação: c6a.large | c6a.xlarge | c6a.2xlarge | c6a.4xlarge | c6a.8xlarge | c6a.12xlarge | c6a.16xlarge

    • Otimizadas para memória: r6a.large | r6a.xlarge | r6a.2xlarge | r6a.4xlarge

  • Iniciar sua instância em um Região da AWS compatível: Leste dos EUA (Ohio) ou Europa (Irlanda).

  • Use uma AMI com modo de inicialização uefi ou uefi-preferred e um sistema operacional com suporte a AMD SEV-SNP. Na AWS, o AMD SEV-SNP é compatível com AL2023, RHEL 9.3, SLES 15 SP4 e Ubuntu 23.04 e posterior.

Considerações

Você só pode habilitar o AMD SEV-SNP ao iniciar uma instância. Quando o AMD SEV-SNP está habilitado para a inicialização da instância, as regras a seguir se aplicam.

  • Uma vez habilitado, o AMD SEV-SNP não poderá ser desabilitado. Ele permanece habilitado durante todo o ciclo de vida da instância.

  • É possível alterar o tipo de instância somente para outro tipo de instância com suporte para o AMD SEV-SNP.

  • Não há suporte para o Hibernation e o Nitro Enclaves.

Considerações adicionais sobre hosts dedicados

As seguintes considerações adicionais se aplicam quando você usa o AMD SEV-SNP com hosts dedicados:

  • As atualizações de firmware são aplicadas quando você aloca um host. Para obter o firmware mais recente, libere o host existente e aloque um novo. Para obter mais informações, consulte Atualize o firmware em um host dedicado do AMD SEV-SNP.

  • Você pode iniciar instâncias com ou sem o AMD SEV-SNP ativado em um host dedicado que tenha suporte ao AMD SEV-SNP.

  • Há suporte para Grupos de recursos de host e Reservas de host dedicado.

Considerações adicionais para locação compartilhada

As seguintes considerações adicionais se aplicam quando você usa o AMD SEV-SNP com locação compartilhada:

  • Se o host subjacente para a instância estiver programado para manutenção, você receberá uma notificação do evento programado 14 dias antes do evento. Você deverá interromper ou reiniciar manualmente sua instância para movê-la para um novo host.

Preços

Dedicated Hosts

Não há cobrança adicional pelo uso do AMD SEV-SNP em hosts dedicados. Você paga somente o preço padrão do Host Dedicado. Para obter mais informações, consulte Definição de preço de host dedicado.

Locação compartilhada

Quando você inicia uma instância do Amazon EC2 com o AMD SEV-SNP habilitado em locação compartilhada, é cobrada uma taxa adicional de uso por hora que equivale a 10% da taxa horária sob demanda do tipo de instância selecionada. Essa taxa de uso do AMD SEV-SNP é uma cobrança separada do uso da instância do Amazon EC2. Instâncias reservadas, Savings Plans e uso do sistema operacional não afetam essa taxa.

Se você configurar uma instância spot para iniciar com o AMD SEV-SNP habilitado em locação compartilhada, uma tarifa adicional de uso por hora será cobrada. Essa tarifa equivale a 10% da Taxa horária sob demanda do tipo de instância selecionada. Se a estratégia de alocação usar o preço como entrada, a frota spot não incluirá essa tarifa adicional; somente o preço spot será usado.