无服务器机密容器：挑战与机遇

无服务器计算允许用户在云中按需执行代码片段（所谓的功能），而无需配置任何硬件资源。然而，通过在云中执行并委派对硬件资源的控制，执行的完整性以及功能代码和数据的机密性取决于云提供商和无服务器运行时。机密计算旨在通过在硬件包内执行应用程序来消除云提供商的信任。尽管越来越多地采用机密计算，但设计一个具有适度性能开销的机密无服务器运行时仍然是一个公开的挑战。

在这篇短文中，我们介绍了使用机密容器（confidential Containers，CoCo）将Knative无服务器运行时移植到机密设置的经验，该技术允许在机密VM（cVM）中执行未修改（加密）的容器映像。我们的结果表明，cVM还没有准备好执行基于容器的无服务器功能。从经过认证的加密容器映像启动CoCo中的无服务器函数最多需要17秒。同时启动16个无服务器功能需要3分钟以上，比非机密功能慢20倍。我们分析了开销的主要来源，并概述了缩小机密计算和无服务器计算之间差距的研究挑战。