微軟在去年 11 月舉行的 Ignite 年度用戶大會宣布，將推出兩組支援機密運算（Confidential Virtual Machines，CVM）的 Azure 虛擬機器系列，分別面向一般用途與記憶體密集型工作負載。這批服務於今年 9 月下半正式上線，目前可在阿拉伯聯合大公國北部與韓國中部兩個 Azure 雲端區域使用。
DCasv6 與 DCadsv6 系列鎖定一般用途，單一虛擬機器最高提供 384 GiB 記憶體；ECasv6 與 ECadsv6 則針對記憶體密集型應用，最高可配置 672 GiB 記憶體。四個系列均採用 AMD 第四代 EPYC 9004 系列處理器，單一虛擬機器最高支援 96 顆虛擬處理器。
以 AMD 第四代 EPYC 提升機密運算效能
微軟表示，這批虛擬機器預設啟用 256 位元長度 AES 加密。若搭配 Windows 作業系統，企業可運用軟體內建的虛擬化安全防護（Virtualization-based Security，VBS），再結合處理器提供的強制防護機制，保護作業系統與應用程式使用的加密金鑰。
根據微軟內部測試，DCasv6 系列相較於採用 AMD 第三代 EPYC 平臺的 DCasv5 系列，在多項測試項目中的效能領先幅度最高達 25%。不過，實際效能仍會受到工作負載、虛擬機器規模、儲存配置與網路使用情境影響，不能直接視為所有應用均有相同幅度的提升。
SEV-SNP 強化虛擬機器隔離
新系列支援 AMD Secure Encrypted Virtualization-Secure Nested Paging（SEV-SNP）。這項技術自 AMD EPYC 7003 系列開始支援，可透過硬體信任根提供見證機制、進行記憶體加密，並強化虛擬機器內資料的機密性。
依微軟的產品說明，相關防護可用於降低來自雲端維運人員、系統管理者，以及企業內部人員等不同層面的資安風險。機密運算的核心概念，是在虛擬機器執行期間保護資料與運算狀態，讓雲端服務供應商或其他具備基礎設施管理權限的角色難以直接讀取受保護內容。
支援運作中的加密金鑰更換，操作細節尚未公布
微軟在 DCasv6 與 ECasv6 系列正式上線公告中提到，這批機密運算虛擬機器可在維持上線的狀態下輪流更換加密金鑰。不過，微軟目前尚未詳述使用者如何實際操作這項功能。
根據微軟 2022 年 7 月發布的文件，Azure 機密運算虛擬機器當時並不支援自動輪換金鑰。因此，新產品公告所提到的金鑰更換能力，是否代表新的管理流程或產品功能，仍有待微軟進一步說明，現階段不宜直接解讀為已全面支援自動金鑰輪換。
Azure Kubernetes Service 支援機密節點
在延伸應用方面，微軟宣布 Azure Kubernetes Service（AKS）支援 DCasv6 與 ECasv6 系列。企業可利用 AKS 部署、擴展及管理機密 Kubernetes 叢集，減少相關環境建置與維運工作的複雜度，並降低持續整合與持續交付（CI/CD）流程中的手動操作。
AKS 也能針對機密運算虛擬機器節點群組提供整合監控與事件記錄，協助管理者掌握叢集環境、容器化應用程式的效能與系統運作狀態，並據此進行分析與故障排查。
目前在機密運算容器平臺環境中，Azure Linux 3.0 與 Ubuntu 24.04 的支援仍處於預覽階段。Azure Linux 3.0 可提供符合資源效益需求的基礎套件，以及針對 Azure 雲端環境調整的安全強固 Linux 核心；企業也可選擇 Ubuntu 24.04，建立以該作業系統為基礎的機密虛擬機器節點群組。
主要規格與價格
以下價格與規格由廠商提供，實際費用可能因區域、配置及產品政策調整而變動。
| 系列 | 定位 | 處理器 | vCPU | 記憶體 | 供應區域 |
|---|---|---|---|---|---|
| DCasv6／DCadsv6 | 一般用途 | AMD 第四代 EPYC（Genoa） | 2 至 96 | 8 至 384 GiB | 阿拉伯聯合大公國北部、韓國中部 |
| ECasv6／ECadsv6 | 記憶體密集型工作負載 | AMD 第四代 EPYC（Genoa） | 2 至 96 | 16 至 672 GiB | 阿拉伯聯合大公國北部、韓國中部 |
DCasv6 系列配置
- 本機硬碟：DCasv6 無本機硬碟；DCadsv6 提供 75 至 3,600 GiB。
- 遠端儲存硬碟：8 至 64 臺。
- 網路介面：2 至 8 個，網路頻寬約 12,500 至 34,000 Mbps。
- 韓國中部參考價格：DC2as_v6 每年 148.92 美元；DC2ads_v6 每年 170.09 美元。
ECasv6 系列配置
- 本機硬碟：ECasv6 無本機硬碟；ECadsv6 提供 75 至 3,600 GiB。
- 遠端儲存硬碟：8 至 64 臺。
- 網路介面：2 至 8 個，網路頻寬約 12,500 至 34,000 Mbps。
- 韓國中部參考價格：EC2as_v6 每月 174.47 美元；EC2ads_v6 每月 197.83 美元。
公有雲競爭持續擴大
其他公有雲服務商也已陸續提供搭載 AMD EPYC 處理器的機密運算或相關記憶體加密服務。Google Cloud 在去年 9 月底正式供應採用 AMD 第四代 EPYC 處理器的 C3D，並於今年 6 月開始供應採用 AMD 第五代 EPYC 處理器的機密運算虛擬機器 C4D。
AWS 目前採用 AMD 第四代 EPYC 處理器的虛擬機器包括 M7a、R7a、C7a 與 Hpc7a，支援 Secure Memory Encryption（SME）；至於支援 SEV-SNP 的產品，則包括 M6a、R6a 與 C6a。
Oracle 的機密運算執行個體中，採用 AMD 第三代 EPYC 處理器的服務包括 VM.Standard.E4.Flex、BM.DenseIO.E4.128 與 BM.Standard.E4.128；採用 AMD 第四代 EPYC 處理器的服務則包括 BM.DenseIO.E5.128 與 BM.Standard.E5.192。隨著各家雲端業者持續將硬體記憶體加密與虛擬機器隔離機制產品化，機密運算的差異化重點，將不只在處理器世代，也包括金鑰管理、證明機制、區域供應與容器平臺整合程度。
