Intel^® SGX(Intel^® Software Guard Extensions)는 Enclave라고 하는 개인 메모리 영역에서 특정 애플리케이션 코드와 데이터를 격리할 수 있는 하드웨어 기반 보안 솔루션입니다. vSphere Client를 사용하여 다중 CPU 소켓이 있는 SGX 지원 호스트를 Intel Registration Server에 등록하고 vSGX 지원 가상 시스템 내에서 실행되는 애플리케이션에 대한 원격 증명을 사용합니다.

vSphere 7.0부터 가상 시스템에서 vSGX(Virtual Intel^® Software Guard Extensions)를 사용하도록 설정하고 워크로드에 추가적인 보안을 제공할 수 있습니다. "vSphere 가상 시스템 관리" 설명서에서 Intel Software Guard Extensions를 사용하여 가상 시스템 보호를 참조하십시오. 또한 vSGX 지원 가상 시스템에 대해 원격 증명을 사용할 수 있습니다. Intel SGX 원격 증명은 신뢰할 수 있는 원격 엔티티를 사용하여 인증되고 안전한 통신 채널을 설정할 수 있게 해 주는 보안 메커니즘입니다. 단일 CPU 소켓이 있는 호스트는 SGX Enclave를 사용하는 가상 시스템에 대해 원격 증명을 사용하기 위해 Intel에 등록할 필요가 없습니다.

vSphere 8.0부터 CPU 소켓이 여러 개 있는 호스트에서 실행되는 가상 시스템에서 원격 증명을 사용하도록 설정하려면 먼저 호스트를 Intel Registration Server에 등록해야 합니다. CPU 소켓이 여러 개 있는 SGX 지원 호스트가 Intel Registration Server에 등록되지 않은 경우 원격 증명이 필요하지 않은 vSGX 지원 가상 시스템의 전원만 켤 수 있습니다.

SGX 지원 CPU가 있는 호스트를 추가하면 vCenter Server가 BIOS에서 제공하는 UEFI(Unified Extensible Firmware Interface) 변수에 액세스하고 호스트의 현재 등록 상태를 읽습니다. vCenter Server가 호스트의 SGX 상태에 대한 정보를 검색하도록 설정하려면 호스트의 펌웨어 부팅 모드를 UEFI 모드로 설정해야 합니다. GUID-A19D390F-2C26-440B-B5C8-6CDCE86345D3.html#GUID-A19D390F-2C26-440B-B5C8-6CDCE86345D3의 내용을 참조하십시오.

vSphere Client에서 등록 옵션을 사용하거나 마이크로코드 업데이트 후 ESXi 호스트를 재부팅하고 CPU 패키지를 추가 또는 교체하여 호스트의 현재 SGX 등록 상태를 변경할 수 있습니다. 각 호스트를 재부팅할 때마다 vSphere Client를 사용하여 호스트의 업데이트된 등록 상태를 볼 수 있습니다.

호스트의 SGX 등록 상태

vSphere Client를 사용하여 SGX 지원 호스트의 현재 상태를 보고 필요한 단계를 수행하여 호스트를 Intel Registration Server에 등록할 수 있습니다.

SGX 등록 상태	설명
해당 없음	단일 CPU 소켓이 있는 SGX 지원 호스트는 원격 증명을 사용하도록 설정하기 위해 Intel Registration Server에 등록할 필요가 없습니다.
완료 안 됨	다음 사용 사례 중 하나에서 등록 상태가 완전하지 않습니다. vCenter Server에 인스턴스에 새 호스트를 추가할 때 및 호스트가 아직 등록되지 않았을 때. Intel SGX TCB(Trusted Computing Base) 복구를 수행하는 호스트 펌웨어 업데이트 후. CPU 패키지가 여러 개 있는 호스트의 경우 CPU 패키지를 추가하거나 교체할 때, BIOS 설정에서 SGX 공장 초기화를 수동으로 수행해야 합니다. 그런 다음 호스트를 새로 추가한 호스트처럼 등록해야 합니다. BIOS 설정에서 수동으로 SGX 공장 초기화를 수행할 때, 호스트를 다시 등록해야 합니다.
완료	호스트가 Intel Registration Server에 성공적으로 등록되었습니다.

SGX 등록 상태

설명

해당 없음

단일 CPU 소켓이 있는 SGX 지원 호스트는 원격 증명을 사용하도록 설정하기 위해 Intel Registration Server에 등록할 필요가 없습니다.

완료 안 됨

다음 사용 사례 중 하나에서 등록 상태가 완전하지 않습니다.

vCenter Server에 인스턴스에 새 호스트를 추가할 때 및 호스트가 아직 등록되지 않았을 때.
Intel SGX TCB(Trusted Computing Base) 복구를 수행하는 호스트 펌웨어 업데이트 후.
CPU 패키지가 여러 개 있는 호스트의 경우 CPU 패키지를 추가하거나 교체할 때, BIOS 설정에서 SGX 공장 초기화를 수동으로 수행해야 합니다. 그런 다음 호스트를 새로 추가한 호스트처럼 등록해야 합니다.
BIOS 설정에서 수동으로 SGX 공장 초기화를 수행할 때, 호스트를 다시 등록해야 합니다.

완료

호스트가 Intel Registration Server에 성공적으로 등록되었습니다.

ESXi 호스트의 SGX 등록 상태를 보는 방법

vSphere Client를 사용하여 ESXi 호스트의 현재 SGX 등록 상태를 볼 수 있습니다.

사전 요구 사항

SGX 기능이 있는 Intel CPU에 호스트가 설치되어 있고 SGX가 사용되도록 설정되어 있는지 확인합니다.
호스트의 펌웨어 부팅 모드를 UEFI로 설정합니다.

프로시저

vSphere Client에서 SGX 지원 호스트로 이동합니다.
요약 탭에서 하드웨어 카드로 이동합니다.
SGX 노드를 확장하여 등록 상태 속성의 값을 봅니다.

다양한 등록 상태에 대한 자세한 내용은 호스트의 SGX 등록 상태 항목을 참조하십시오.

다음에 수행할 작업

vSGX 지원 가상 시스템에 대해 원격 증명 기능을 사용하려면 호스트 등록이 완료되지 않았으며 호스트에 여러 CPU 소켓이 있는 경우 호스트를 Intel 등록 서버에 등록해야 합니다. GUID-FB812900-770A-47C3-92CE-284DF338367E.html#GUID-FB812900-770A-47C3-92CE-284DF338367E의 내용을 참조하십시오.

Intel SGX 등록 서버에 다중 소켓 ESXi 호스트를 등록하는 방법

다중 소켓 호스트에 대해 SGX 원격 증명 기능을 사용하려면 vSphere Client를 사용하여 ESXi 호스트를 Intel Registration Server에 등록합니다.

Intel SGX 증명 메커니즘은 vSGX Enclave와 외부 엔티티 간의 신뢰를 보장합니다. SGX 기능이 사용되도록 설정된 다중 소켓 호스트에서 이 기능을 사용하려면 호스트를 Intel SGX Registration Server에 등록해야 합니다.

사전 요구 사항

SGX 기능이 있는 Intel CPU에 호스트가 설치되어 있고 SGX가 사용되도록 설정되어 있는지 확인합니다.
호스트의 펌웨어 부팅 모드를 UEFI로 설정합니다.

프로시저

vSphere Client 홈 페이지에서 홈 > 호스트 및 클러스터로 이동합니다.
인벤토리에서 SGX 지원 호스트를 선택하고 구성 탭을 클릭합니다.
[하드웨어]에서 SGX를 선택하고 등록을 클릭합니다.

결과

등록 작업이 성공적으로 완료되면 호스트의 등록 상태가 [완료됨]으로 변경됩니다.

다음에 수행할 작업

vSGX 지원 가상 시스템에 대해 원격 증명을 사용하도록 설정합니다. "vSphere 가상 시스템 관리" 설명서에서 Intel Software Guard Extensions를 사용하여 가상 시스템 보호를 참조하십시오.