![2
コンテナプラットフォームのハードウェア対応セキュリティ
米国NIST 「NISTIR 8320D Hardware-Enabled Security:
Hardware-Based Confidential Computing Initial Public
Draft」（2023年2月）(https://csrc.nist.gov/pubs/ir/8320/d/ipd)
[構成]
1. 序論
2. マシンアイデンティティの生成、管理、保護における課題
3. ステージ0: エンタープライズマシンアイデンティティ管理
4. ステージ1: ハードウェアベースの秘密計算による秘密鍵利用時の
保護
5. ステージ2: マシンアイデンティティ管理とエンドツーエンドの保護
参考文献](https://image.slidesharecdn.com/nist-240912073440-cf402c2b/85/NISTIR-8320D-2-320.jpg)
Uploaded byEiji Sasahara, Ph.D., MBA 笹原英司
「NISTIR 8320D ハードウェア対応セキュリティ：ハードウェアベースの秘密計算」初期公開草案概説
[構成] 序論 マシンアイデンティティの生成、管理、保護における課題 ステージ0: エンタープライズマシンアイデンティティ管理 ステージ1: ハードウェアベースの秘密計算による秘密鍵利用時の保護 ステージ2: マシンアイデンティティ管理とエンドツーエンドの保護 参考文献
![[ハードウェア編] クラウドネイティブアーキテクチャとIoTセキュリティ・バイ・デザイン](https://cdn.slidesharecdn.com/ss_thumbnails/csadevsecops20230217final-230227221417-0e3d8bbf-thumbnail.jpg?width=640&height=640&fit=bounds)
「NISTIR 8320D ハードウェア対応セキュリティ：ハードウェアベースの秘密計算」初期公開草案概説
- 1. @esasahara Cloud Security Alliance DevSecOps/ServerlessWG 「NISTIR 8320D ハードウェア対応セキュリティ: ハードウェアベースの秘密計算」初期公開草案概説 2024年9月
- 2. 2 コンテナプラットフォームのハードウェア対応セキュリティ 米国NIST 「NISTIR 8320DHardware-Enabled Security: Hardware-Based Confidential Computing Initial Public Draft」（2023年2月）(https://csrc.nist.gov/pubs/ir/8320/d/ipd) [構成] 1. 序論 2. マシンアイデンティティの生成、管理、保護における課題 3. ステージ0: エンタープライズマシンアイデンティティ管理 4. ステージ1: ハードウェアベースの秘密計算による秘密鍵利用時の 保護 5. ステージ2: マシンアイデンティティ管理とエンドツーエンドの保護 参考文献
- 3. 3 1. 序論 • 目的とスコープ: マシンアイデンティティを効果的に管理し、マルウェアおよびその他の セキュリティ関連の脆弱性から保護するためのアプローチを説明する ・マシンアイデンティティのライフサイクル全体で作成、管理、保護する 際の選択されたセキュリティ上の課題を説明する ・ハードウェアベースの秘密計算を使用して、これらの課題に対処する ために設計された概念実証(PoC)の実装／プロトタイプについて 説明する ・用語:「NISTIR 8320, Hardware-Enabled Security: Enabling a Layered Approach to Platform Security for Cloud and Edge Computing Use Cases」で記述された用語お よび概念に基づく
- 4. 4 2. マシンアイデンティティの生成、管理、保護における課題 ・ハードウェア対応型セキュリティを有効活用したマシンアイデンティティの機能 ・すべてのマシンアイデンティティに関する集中制御と可視性 ・保存時、転送時、使用中の主な状態すべてにおいて、できる限り安全なマシンアイデンティティ ・ソフトウェア開発ライフサイクルやDevOpsパイプラインにおいて、様々なタイプのマシンアイデンティティに 対する強力なアクセス制御 ・可能な限り安全性を高めるような、DevOpsプロセスにおけるマシンアイデンティティの実装と使用 考慮事項 ステージ ・組織内のすべてのマシンアイデンティティに対するセキュリティと自動化を優先事項とすべきで ある。適切な、組織全体にわたるマシンアイデンティティ管理戦略は、セキュリティチームが急 速に増加するマシンアイデンティティに追いつくことを可能にし、同時に組織が安全にスケーリン グを続けることを許可する。 ステージ0: エンタープライ ズマシンアイデンティティ 管理 ・秘密計算のパラダイムは、動的環境において使用する秘密鍵を保護するために、利用するこ とが可能である。 ステージ1:ハードウェア ベースの秘密計算による 秘密鍵利用時の保護 ・ステージ2では、マシンアイデンティティ管理が秘密計算の前提条件を統合して、秘密鍵がラ ンタイムで使用される際に活用できるようにする ステージ2: マシンアイデンティティ管理 とエンドツーエンドの保護
- 5. 5 3. ステージ0: エンタープライズマシンアイデンティティ管理 ・主要機能コンポーネント 1.インベントリ／ディスカバリ 2.報告／分析 3.強制ポリシー 4.ロールの割り当て 5.ライフサイクルの自動化 出典:NIST「NISTIR8320D Hardware-Enabled Security: Hardware-Based Confidential Computing Initial Public Draft」（2023年2月）(https://csrc.nist.gov/pubs/ir/8320/d/ipd)
- 6.
- 7. 7 ホスト上のワークロードとTEEの間の相互作用と秘密鍵保護 出典:NIST「NISTIR 8320D Hardware-EnabledSecurity: Hardware-Based Confidential Computing Initial Public Draft」（2023年2月）(https://csrc.nist.gov/pubs/ir/8320/d/ipd)
- 8.
- 9. 9 ステージ2のプロトタイプのハイレベルアーキテクチャ 出典:NIST「NISTIR 8320D Hardware-EnabledSecurity: Hardware-Based Confidential Computing Initial Public Draft」（2023年2月）(https://csrc.nist.gov/pubs/ir/8320/d/ipd)
- 10. 10 • 附属書A. ハードウェアアーキテクチャ •附属書B. AMI TruEマシンアイデンティティ管理の実装 • B1.1. ハードウェアとソフトウェアの要求事項 • B1.2. AMI TruEのデプロイ • B1.3. プラットフォームセキュリティサービス構成 • 附属書C. Intel 秘密鍵利用時保護の実装 • 附属書D. マシンアイデンティティのランタイム保護と秘密計算 • D1.1. ソリューション概要 • D1.2. ソリューションアーキテクチャ • D1.3. インストールと構成 • 附属書E. 頭字語およびその他の略語