Cloud Native Computing Foundation ·

Confidential Containers成为CNCF孵化项目

💡 原文英文，约1000词，阅读约需4分钟。

📝

内容提要

CNCF技术监督委员会已接受Confidential Containers作为孵化项目。该项目利用硬件可信执行环境（TEE）保护云端数据使用中的安全，始于2021年，由Red Hat、Intel、IBM等合作开发。项目已获超150名贡献者支持，集成于Kubernetes，支持机密AI推理，并计划通过短期和中长期路线图持续发展。

🔎

延伸解读

孵化意义与治理保障

从CNCF沙箱晋升为孵化项目，意味着Confidential Containers在技术成熟度、社区活跃度和治理模式上获得了TOC的认可。孵化阶段要求项目具备清晰的治理结构和长期可持续性，而CNCF的中立治理框架有助于项目制定行业标准，避免单一厂商主导。对于用户而言，这降低了采用该技术的风险，因为其发展路线和决策过程将更加透明和开放。

技术抽象与生态集成

项目通过Kata Containers运行时将硬件TEE能力抽象为标准的Kubernetes Pod资源，使开发者无需深入了解底层硬件安全特性即可部署机密工作负载。这种抽象降低了TEE的采用门槛，并支持Intel TDX、AMD SEV-SNP等多种硬件，避免供应商锁定。同时，与Kyverno、KServe等工具的集成，为策略管理和机密AI推理等场景提供了便利，推动了数据使用中保护在云原生生态中的落地。

路线图侧重实际用例

项目路线图分为短期和中长期：短期聚焦于提供稳定易部署的端到端解决方案，而中长期则转向用例驱动开发，优先满足客户实际需求，并通过稳健的CI/CD流程保证功能一致性。这种策略有助于项目从技术探索转向生产级应用，尤其为机密AI推理等新兴场景提供了可扩展的安全基础。

❓

Q&A

Confidential Containers是什么？

Confidential Containers是一个开源项目，旨在利用硬件可信执行环境（TEE）保护云端数据使用中的安全。它通过Kata Containers运行时将硬件安全功能集成到Kubernetes生态系统中，使组织能够在公共云或私有基础设施上运行敏感工作负载，并确保基础设施运营商无法访问正在处理的数据。

Confidential Containers项目是如何开始的？

该项目始于2021年，由Red Hat、Intel、IBM等公司合作发起，旨在将机密计算引入云原生应用。

Confidential Containers的主要组件有哪些？

主要组件包括：Confidential Containers Pods（用于在TEE中部署未修改的容器）、Trustee（可扩展的证明服务，验证TEE节点和工作负载的完整性）、Helm Charts与控制器（提供生命周期管理）、硬件抽象层（支持Intel TDX和AMD SEV-SNP等多种TEE技术）。

Confidential Containers如何保护数据使用中的安全？

它利用硬件可信执行环境（TEE）在计算过程中加密数据，确保即使基础设施运营商也无法访问正在处理的数据。这与传统仅加密静态数据或传输中数据的方法不同，专注于保护使用中的数据。

Confidential Containers与Kubernetes的集成情况如何？

Confidential Containers通过Kata Containers运行时与Kubernetes集成，允许开发者使用熟悉的Kubernetes工作流部署机密工作负载，降低了采用TEE的复杂性。此外，它还通过Kyverno等工具与基础设施自动化集成，并正在集成到KServe以支持机密AI推理。

Confidential Containers的路线图是什么？

路线图分为短期（2-6个月）和中长期（6-18个月）。短期目标是提供端到端、稳定且易于部署的解决方案，开发在GitHub的release项目和Trustee项目中跟踪。中长期则优先考虑用例驱动开发，强调交付客户所需的实际用例，并通过稳健的CI/CD流程确保端到端功能。