azure - Azure 容器可以使用 vTPM、安全启动和证明机制吗？还是需要 VM？

Question

容器的好处之一是减少创建虚拟机管理程序和虚拟机的开销。

Azure 根据 https://learn.microsoft.com/en-us/azure/virtual-machines/generation-2 支持虚拟可信平台模块 (vTPM) .

此功能的好处之一是安全启动、可信启动和证明机制(根据 https://learn.microsoft.com/en-us/azure/virtual-machines/trusted-launch-portal?tabs=portal%2Cportal2) .

我的问题是，如果用户只使用容器，是否需要创建虚拟机？容器可以在没有虚拟机的情况下使用吗？这些容器也可以访问 vTPM 吗？

Answer 1

不幸的是，没有。

由于虚拟机与主机操作系统隔离，因此可以使用 vTPM 在虚拟机上进行测量/可信启动和运行时证明。当您观察虚拟机的启动时，您可以看到它有自己的引导加载程序，并通过虚拟机管理程序与主机分开运行。另一方面，容器只是从主机操作系统上运行的现有进程派生出来的进程。容器和主机之间的距离非常小(这就是逃逸可能的原因)。这就是为什么需要命名空间，以提供与主机和容器本身的分离(例如，如果没有用户命名空间，在容器中创建用户将在主机本身上创建用户)。