云原生机密计算新范式 PeerPods 技术方案在阿里云上的落地和实践

2025-07-03
陕西
本文字数：1910 字
阅读完需：约 6 分钟

近日，阿里云技术专家于国瑞和阿里云高级工程师马丁受邀参加云原生计算基金会（CNCF） Confidential Containers (简称 CoCo)项目社区线上会议，分享了《PeerPods 技术方案在阿里云上的落地和实践》。会上，两位技术专家全面介绍了 PeerPods 在阿里云 ACK 上的技术落地方案，并与现场嘉宾深度探讨了 PeerPods 在重塑云原生机密计算形态方面的创新架构。

根据可信执行环境（TEE）保护的 Kubernetes 资源粒度，目前主流的云原生融合机密计算的技术路线大体上可以分为两种：

●CVM（Confidential Virtual Machine，机密虚拟机） as Node：将完整的 Kubernetes 软件栈运行在机密虚拟机内，典型方案包括了 Edgeless 提出的 Constellation 等，具有部署简单，适配成本低的优点，但可信计算基（TCB，Trusted Computing Base）较大，安全性相对低。

●CVM as Pod：将机密虚拟机作为 Kubernetes 的 Pod 概念实体，典型的技术方案包括 CoCo 机密容器和 PeerPods，缺点是部署稍复杂，但优势在于与机密计算结合更紧密，更安全，TCB 更小。

CoCo 是 CNCF 旗下的 Sandbox 项目，旨在利用硬件可信执行环境（TEE）能力，在不对应用做修改的情况下，为云原生负载提供机密计算能力，保护应用负载的机密性和完整性。CoCo 机密容器采取 Kata 架构，利用本地集群虚拟化技术创建的机密虚拟机作为 TEE 使用。PeerPods 作为 CoCo 的重要子项目，创新性地允许用户直接利用公有云上的 IaaS 实例作为 Kubernetes Pod，不需要裸金属工作节点或者嵌套虚拟化支持。

PeerPods 作为一项突破性技术，凭借其独特优势正在重塑云原生容器化部署的实践方式。在技术价值层面，PeerPods 的核心亮点体现在四个方面：

其一，简洁易用的架构设计，让用户无需维护复杂的裸金属服务器或嵌套虚拟化栈，即可以完全云原生的方式快速部署 Kubernetes 容器负载，显著降低运维复杂度；
其二，安全与机密性保障，所有工作负载均运行在轻量级机密虚拟机（Confidential Virtual Machine, CVM）中，以虚拟机级别实现 Pod 抽象，且 Guest 镜像的生产具备全流程可追溯性，从源头确保系统安全性；
其三，开源特性赋予技术更高的透明度与生态兼容性，代码全量开放并依托 Confidential Containers 开源社区协作开发，形成可持续演进的技术体系；
其四，灵活的扩容粒度支持以核为单位进行资源分配，而非传统物理机级别的粗放式扩容，进一步降低用户的使用门槛与成本。

为了实现基于机密虚拟机 Pod 部署，PeerPod 的核心组件 Cloud Api Adaptor 实现了远程虚拟机管理程序。它在每个 Kubernetes Worker 节点上作为 Daemonset 运行，负责接收来自 Kata-runtime 的命令，并为 PeerPod 实现这些命令。例如，当它收到与 Pod 生命周期相关的命令时，传统上这些命令（如 CreateSandboxRequest 和 StopSandboxRequest）由本地管理程序提供服务，在 PeerPod 场景下，它将使用 IaaS API（来自云服务提供商，或本地用于 libvirt 实现，以创建和删除 Pod 虚拟机）。

（图/PeerPod 架构）

PeerPod 开源架构介绍链接：

https://github.com/confidential-containers/cloud-api-adaptor/blob/main/docs/architecture.md

PeerPods 技术价值已在阿里云实际场景中深度落地。首先，在数据机密性方面，基于公有云 ECS 8 代 TDX 实例，PeerPods 构建了专为容器化场景优化的 Pod 级计算基础设施，结合硬件级安全隔离能力，为用户提供更高性能与安全性保障。其次，在稳定性和镜像构建方面，阿里云采用 Alibaba Cloud Linux 官方发行版作为 PeerPods 镜像的基础，通过 Packer 工具集成开源社区组件进行标准化打包。Alibaba Cloud Linux 作为阿里云上历经十年验证的高稳定性操作系统，已成为 ECS 机密计算实例的核心底座，其成熟度为 PeerPods 的稳定运行提供了坚实支撑。同时，为了方便用户使用，ACK 容器服务集群承担用户节点集群的管理角色，通过 Kubernetes 控制台实现统一调度与资源编排，进一步简化容器化部署流程。此外，ACR 阿里云容器镜像服务同步了开源社区的官方容器镜像，不仅为内地用户提供网络加速支持，更通过一键式部署方案显著提升交付效率。这一整套技术组合，既体现了 PeerPods 在公有云场景中的落地能力，也展示了阿里云在容器化技术生态中的深度布局与创新能力。