Confidential Containers
v0.22.0SecurityConfidential Containers v0.22.0 はTrustee 管理トークン認証(管理者秘密鍵を置き換え)を導入し、複数の CAA・RVPS コンポーネントを廃止し、Verifier・ストレージバックエンド・ヘルスモニタリング機能を拡張するフィーチャーリリースです。
breakingTrustee管理認証が管理者トークンを必須化
TrusteeのKBSクライアント呼び出しが、管理者秘密鍵から管理者トークンに変わりました。v0.22.0では管理者秘密鍵による認証は廃止されています。TrusteeのKBS管理操作を実行するクライアントは、アップグレード時またはその前にトークンベース認証に移行する必要があります。
breakingCAA Dockerプロバイダー廃止
CAA Dockerプロバイダーはv0.22.0で廃止されました。このプロバイダーに依存するデプロイメントは、別のコンテナイメージソースまたは構成証明手法に切り替える必要があります。
breakingFedora ベース CAA podvm イメージ廃止
Fedora ベースの mkosi ビルド CAA podvm イメージが v0.22.0 で廃止されました。このイメージを使用するデプロイメントは、別の podvm イメージに移行する必要があります。
breakingPacker ビルド CAA podvm イメージ廃止
Packer ビルド CAA podvm イメージが v0.22.0 で廃止されました。このイメージを使用するデプロイメントは、別の podvm イメージに移行する必要があります。
breakingCAA csi-wrapper コンポーネント廃止
CAA csi-wrapper コンポーネントが v0.22.0 で廃止されました。このコンポーネントに依存するデプロイメントまたは構成の更新が必要です。
breakingIn-toto 参照値エクストラクター RVPS から廃止
In-toto 参照値エクストラクターが RVPS から v0.22.0 で廃止されました。In-toto 参照値抽出に依存するワークフローは、再構成または置き換えが必要です。
主な変更 (8)
- 破壊的: Trustee 管理認証が管理者秘密鍵から管理者トークンに変更。
- 破壊的: CAA Dockerプロバイダー、csi-wrapper コンポーネント、および mkosi ビルト・Packer ビルト CAA podvm イメージを廃止。
- 破壊的: RVPS の In-toto 参照値エクストラクターを廃止。
- Trustee Helm Chart 導入により、デプロイメントが簡素化。
- Intel verifier がオフライン/エアギャップ構成証明照合に対応; QCNL ライブラリ依存性を削除。
- Trustee に Redis/Valkey ストレージバックエンド および AWS Secrets Manager リソースバックエンド を追加。
- RVPS・AS・KBS に gRPC Health エンドポイントと /healthz API を追加; 構成証明トークンに発行者クレイムを含め、署名鍵を JWKS エンドポイント経由で公開。
- Hygon DCU verifier が複数デバイスに対応; s390x verifier が SHA-512 をレポートデータに使用に切り替え。
対応が必要なリリースが出たときに、週次メールでお知らせします。 今回の破壊的変更も、その一例です。