Amazon EC2 인스턴스용 AMD SEV-SNP

AMD Secure Encrypted Virtualization-Secure Nested Paging(AMD SEV-SNP)은 다음과 같은 속성을 제공하는 CPU 기능이에요.

증명(Attestation) – AMD SEV-SNP를 사용하면 인스턴스의 상태와 정체성을 검증하고, 진짜 AMD 하드웨어에서 실행 중임을 확인하는 데 쓸 수 있는 암호화 측정값을 포함한 서명된 증명 보고서를 검색할 수 있어요. 자세한 내용은 AMD SEV-SNP로 Amazon EC2 인스턴스 증명하기 문서를 참고하세요.
메모리 암호화 – AMD EPYC(Milan), AWS Graviton2, Intel Xeon Scalable(Ice Lake) 프로세서부터 인스턴스 메모리는 항상 암호화돼요.

AMD SEV-SNP는 Dedicated Hosts 또는 공유 테넌시(shared tenancy)와 함께 사용할 수 있어요.

출처: 문서

본문

개념 및 용어
요구 사항
고려 사항
가격
지원 인스턴스 유형 찾기
AMD SEV-SNP 활성화
AMD SEV-SNP로 증명하기

개념 및 용어

AMD SEV-SNP 사용을 시작하기 전에 다음 개념과 용어를 숙지해 두세요.

AMD SEV-SNP attestation report

AMD SEV-SNP 증명 보고서는 인스턴스가 CPU에 요청할 수 있는 문서예요. 이 보고서는 인스턴스의 상태와 정체성을 검증하고, 승인된 AMD 환경에서 실행 중인지 확인하는 데 사용할 수 있어요. 보고서에는 launch measurement가 포함되는데, 이는 초기 인스턴스 메모리 내용과 vCPU의 초기 상태를 포함한 인스턴스의 초기 부팅 상태에 대한 암호화 해시예요. AMD SEV-SNP 증명 보고서는 AMD 루트 오브 트러스트(root of trust)로 이어지는 VCEK 서명(Dedicated Hosts) 또는 VLEK 서명(공유 테넌시)으로 서명돼요.

VCEK

Versioned Chip Endorsement Key(VCEK)는 AMD가 인증하는 칩별 서명 키로, AMD CPU가 Dedicated Hosts의 AMD SEV-SNP 증명 보고서를 서명하는 데 사용해요. VCEK 서명은 AMD가 제공하는 인증서로 검증할 수 있어요.

VLEK

Versioned Loaded Endorsement Key(VLEK)는 AMD가 인증하는 버전이 지정된 서명 키로, AMD CPU가 공유 테넌시의 AMD SEV-SNP 증명 보고서를 서명하는 데 사용해요. VLEK 서명은 AMD가 제공하는 인증서로 검증할 수 있어요.

OVMF binary

Open Virtual Machine Firmware(OVMF)는 인스턴스에 UEFI 환경을 제공하는 데 사용되는 초기 부팅 코드예요. 이 초기 부팅 코드는 AMI의 코드가 부팅되기 전에 실행돼요. OVMF는 AMI에 제공된 부트 로더도 찾아서 실행해요. 자세한 내용은 OVMF repository를 참고하세요.

요구 사항

AMD SEV-SNP 요구 사항은 Dedicated Hosts를 사용하는지 공유 테넌시를 사용하는지에 따라 달라져요.

Dedicated Hosts 요구 사항

Dedicated Hosts와 함께 AMD SEV-SNP를 사용하려면 다음 요구 사항을 충족해야 해요.

다음 지원 인스턴스 유형 중 하나를 사용하세요.
- 범용(General purpose): m6a.large, m6a.xlarge, m6a.2xlarge, m6a.4xlarge, m6a.8xlarge
- 컴퓨팅 최적화(Compute optimized): c6a.large, c6a.xlarge, c6a.2xlarge, c6a.4xlarge, c6a.8xlarge, c6a.12xlarge, c6a.16xlarge
- 메모리 최적화(Memory optimized): r6a.large, r6a.xlarge, r6a.2xlarge, r6a.4xlarge
AMD SEV-SNP가 활성화된 Dedicated Host를 할당하세요. 자세한 내용은 AMD SEV-SNP가 있는 Dedicated Host 할당하기 문서를 참고하세요.
상용 AWS 리전에서 인스턴스를 실행하세요.
uefi 또는 uefi-preferred 부팅 모드와 AMD SEV-SNP를 지원하는 운영 체제를 가진 AMI를 사용하세요. AWS에서는 AL2023, RHEL 9.3, SLES 15 SP4, Ubuntu 23.04 이상에서 AMD SEV-SNP를 지원해요.

공유 테넌시 요구 사항

공유 테넌시와 함께 AMD SEV-SNP를 사용하려면 다음 요구 사항을 충족해야 해요.

다음 지원 인스턴스 유형 중 하나를 사용하세요.
- 범용(General purpose): m6a.large, m6a.xlarge, m6a.2xlarge, m6a.4xlarge, m6a.8xlarge
- 컴퓨팅 최적화(Compute optimized): c6a.large, c6a.xlarge, c6a.2xlarge, c6a.4xlarge, c6a.8xlarge, c6a.12xlarge, c6a.16xlarge
- 메모리 최적화(Memory optimized): r6a.large, r6a.xlarge, r6a.2xlarge, r6a.4xlarge
지원되는 AWS 리전에서 인스턴스를 실행하세요: US East(Ohio) 또는 Europe(Ireland).
uefi 또는 uefi-preferred 부팅 모드와 AMD SEV-SNP를 지원하는 운영 체제를 가진 AMI를 사용하세요. AWS에서는 AL2023, RHEL 9.3, SLES 15 SP4, Ubuntu 23.04 이상에서 AMD SEV-SNP를 지원해요.

고려 사항

AMD SEV-SNP는 인스턴스를 실행할 때만 활성화할 수 있어요. 인스턴스 실행에 AMD SEV-SNP가 활성화되면 다음 규칙이 적용돼요.

활성화한 뒤에는 AMD SEV-SNP를 비활성화할 수 없어요. 인스턴스 수명 내내 활성화 상태로 유지돼요.
AMD SEV-SNP를 지원하는 다른 인스턴스 유형으로만 인스턴스 유형을 변경할 수 있어요.
최대 절전(hibernation)과 Nitro Enclaves는 지원되지 않아요.

Dedicated Hosts에 대한 추가 고려 사항

Dedicated Hosts와 함께 AMD SEV-SNP를 사용할 때는 다음 추가 고려 사항이 적용돼요.

호스트를 할당할 때 펌웨어 업데이트가 적용돼요. 최신 펌웨어를 얻으려면 기존 호스트를 해제하고 새 호스트를 할당하세요. 자세한 내용은 AMD SEV-SNP Dedicated Host의 펌웨어 업데이트 문서를 참고하세요.
AMD SEV-SNP를 지원하는 Dedicated Host에서 AMD SEV-SNP를 활성화하거나 활성화하지 않고 인스턴스를 실행할 수 있어요.
호스트 리소스 그룹(Host Resource Groups)과 Dedicated Host Reservations가 지원돼요.

공유 테넌시에 대한 추가 고려 사항

공유 테넌시와 함께 AMD SEV-SNP를 사용할 때는 다음 추가 고려 사항이 적용돼요.

인스턴스의 기본 호스트가 유지보수로 예약되면 이벤트 14일 전에 예약 이벤트 알림을 받아요. 인스턴스를 새 호스트로 옮기려면 인스턴스를 수동으로 중지하거나 다시 시작해야 해요.

가격

Dedicated Hosts

Dedicated Hosts에서 AMD SEV-SNP를 사용하는 데는 추가 비용이 없어요. 표준 Dedicated Host 가격만 지불하면 돼요. 자세한 내용은 Dedicated Host pricing을 참고하세요.

공유 테넌시

공유 테넌시에서 AMD SEV-SNP가 활성화된 Amazon EC2 인스턴스를 실행하면, 선택한 인스턴스 유형의 On-Demand 시간당 요금의 10%에 해당하는 추가 시간당 사용료가 청구돼요. 이 AMD SEV-SNP 사용료는 Amazon EC2 인스턴스 사용과는 별도의 요금이에요. Reserved Instances, Savings Plans, 운영 체제 사용은 이 요금에 영향을 주지 않아요.

공유 테넌시에서 AMD SEV-SNP가 활성화된 Spot Instance를 실행하도록 구성하면, 선택한 인스턴스 유형의 On-Demand 시간당 요금의 10%에 해당하는 추가 시간당 사용료가 청구돼요. 할당 전략이 가격을 입력으로 사용하면 Spot Fleet은 이 추가 요금을 포함하지 않고, Spot 가격만 사용해요.

더 알아보기

CPU 최적화
지원 인스턴스 유형 찾기