作者｜彥榮

2021 年 9月 15 日，Inclavare Containers 通過雲原生計算基金會（CNCF）TOC 投票正式成為 CNCF 官方沙箱專案。Inclavare Containers 是一個最初由阿里雲作業系統安全團隊和雲原生容器平臺團隊共同研發，並聯合 Intel 共同打造的業界首個面向機密計算場景的開源容器執行時專案。

Inclavare Containers 專案地址：
https://github.com/alibaba/in...

首個機密計算開源容器執行時- Inclavare Containers

雲原生環境下，機密計算技術基於硬體可執行環境，為使用者在使用（計算）過程中的敏感資料提供了機密性和完整性的保護，但是同時也面臨著開發、使用和部署門檻高、敏感應用容器化操作複雜、Kubernetes 不提供原生支援、以及缺乏統一的跨雲部署方案等一系列問題；而 Inclavare Containers 正是為解決這些問題而生的。

<p style="text-align:center">Inclavare Containers 系統架構圖</p>

Inclavare Containers 能夠與 Kubernetes 和 Docker 進行整合，是業界首個面向機密計算場景的開源容器執行時，其目標是為業界和開源社群提供面向雲原生場景的機密容器技術、機密叢集技術和通用的遠端證明安全架構，併力爭成為該領域的事實標準。該專案於 2020 年 5 月開源，短短一年多時間內發展迅速，吸引了眾多領域專家和工程師的關注與貢獻。

五大特色功能，為使用者資料保駕護航

Inclavare Containers 採用了新穎的方法在基於硬體的可信執行環境中啟動受保護的容器，以防止不受使用者信任的實體訪問使用者的敏感資料。其核心功能和特點包括：

• 移除對雲服務提供商的信任，實現零信任模型：Inclavare Containers 的安全威脅模型假設使用者無需信任雲服務提供商，即使用者工作負載的安全性不再依賴雲服務提供商控制的特權元件。
• 提供通用的遠端證明安全架構：通過構建通用且跨平臺的遠端證明安全架構，能夠向使用者證明其敏感的工作負載是執行在真實可信的基於硬體的可信執行環境中，且硬體的可信執行環境可以基於不同的機密計算技術。
• 定義了通用的 Enclave Runtime API 規範：通過標準的 API 規範來對接各種形態的 Enclave Runtime，在簡化特定的 Enclave Runtime 對接雲原生生態的同時，也為使用者提供了更多的技術選擇。目前，Occlum、Graphene 和 WAMR 均為 Inclavare Containers 提供了 Enclave 執行時的支援。
• OCI相容：Inclavare Containers 專案設計並實現了符合 OCI 執行時規範的新型 OCI 執行時 rune，以便與現有的雲原生生態系統保持一致，實現了機密容器形態。使用者的敏感應用以機密容器的形式部署和執行，並保持與使用普通容器相同的使用體感。
• 與 Kubernetes 生態無縫整合：Inclavare Containers 可以部署在任何公共雲 Kubernetes 平臺中，實現了統一的機密容器部署方式。

加速雲原生基礎設施擁抱機密計算

Inclavare Containers 開源專案致力於通過結合學術界的原創研究和工業界的落地實踐能力，加速雲原生基礎設施擁抱機密計算，通過中立化的社群構建雲原生機密計算安全技術架構。除了已經與 Intel 建立了合作關係外，計劃在之後與其他晶片廠商陸續建立類似的合作關係；此外，我們已經開始與高校和學術界建立新的合作關係，以挖掘出 Inclavare Containers 在機密計算領域的更多潛能。

作為業界首個面向機密計算場景的開源容器執行時，Inclavare Containers 將向安全、更易用、智慧可擴充套件的架構方向演進。在不斷深化實施零信任模型原則的同時，不斷提升開發者和使用者的使用體驗，並最終完全消除與執行普通容器在使用體感上的差異。未來，Inclavare Containers 將繼續與社群並肩、與生態同行，致力於推進雲原生技術在機密計算系統領域的生態建設和普及，與全球開發者一起擴充雲原生的邊界。

目前，Inclavare Containers 成為龍蜥社群雲原生機密計算 SIG 的專案之一：致力於通過開源社群合作共建的方式，向業界提供開源和標準化的機密計算技術以及安全架構，推動雲原生場景下的機密計算技術的發展。

戳下方連結直達雲原生機密計算 SIG：
https://openanolis.cn/sig/coco