1.3. initdata について
initdata 仕様は、実行時に機密データまたはワークロード固有のデータを使用してピア Pod を初期化する柔軟な方法を提供し、そのようなデータを仮想マシン (VM) イメージに埋め込む必要性を回避します。これにより、機密情報の漏洩が減り、セキュリティーが強化され、カスタムイメージビルドがなくなることで柔軟性が向上します。たとえば、initdata には次の 3 つの設定を含めることができます。
- 安全な通信のための X.509 証明書。
- 認証用の暗号化キー。
-
許容的なデフォルトの Kata エージェントポリシーをオーバーライドする際に実行時の動作を強制するため、オプションの Kata エージェント
policy.rego
ファイル。
initdata コンテンツは次のコンポーネントを設定します。
- Attestation Agent (AA) は、アテステーションのためにエビデンスを送信することで、ピア Pod の信頼性を検証します。
- Confidential Data Hub (CDH) は、ピア Pod 仮想マシン内の秘密と安全なデータアクセスを管理します。
- Kata エージェントは、ランタイムポリシーを適用し、Pod 仮想マシン内のコンテナーのライフサイクルを管理します。
initdata.toml
ファイルを作成し、それを gzip 形式の Base64 エンコード文字列に変換します。この initdata の文字列を、次のいずれかの方法でワークロードに適用します。
-
グローバル設定: ピア Pod の config map で
INITDATA
キーの値として initdata 文字列を追加して、すべてのピア Pod のデフォルト設定を作成します。 Pod 設定: initdata 文字列を Pod マニフェストにアノテーションとして追加します。これにより、個々のワークロードのカスタマイズが可能になります。
注記Pod マニフェスト内の initdata アノテーションは、その特定の Pod に対して、ピア Pod の config map 内のグローバルな
INITDATA
値をオーバーライドします。Kata ランタイムは、Pod の作成時にこの優先順位を自動的に処理します。