Constellation v2.21.0 版本发布：增强SSH连接与K8s支持

Constellation是一个专注于云原生安全计算的开源项目，它通过可信执行环境（TEE）技术为Kubernetes集群提供硬件级别的安全隔离。该项目由Edgeless Systems团队维护，旨在为企业级应用提供端到端的机密计算解决方案。

核心功能更新

新增SSH安全连接功能

本次发布的v2.21.0版本引入了一个重要的新特性——ssh命令行工具。这个功能允许用户通过SSH协议安全地连接到Constellation集群中的节点。与传统的SSH连接不同，该功能在设计上充分考虑了TEE环境的安全需求，确保连接过程不会破坏节点的安全隔离性。

技术实现上，该命令利用了Constellation现有的认证机制，在建立SSH连接前会验证目标节点的完整性。这种设计特别适合需要直接访问节点进行调试或维护的场景，同时又不希望降低安全级别的用户。

Kubernetes版本支持更新

随着Kubernetes社区的持续发展，Constellation v2.21.0同步更新了对K8s版本的支持：

• 新增对Kubernetes 1.31的支持
• 移除了对Kubernetes 1.28的支持

这一变更反映了项目对上游Kubernetes社区的支持策略，确保用户能够使用最新的稳定版本，同时逐步淘汰不再受社区维护的旧版本。对于企业用户而言，这意味着可以更安全地部署包含最新安全补丁的Kubernetes集群。

关键问题修复

Azure SNP认证修复

本次发布修复了Azure SNP（Secure Nested Paging）认证中的一个关键问题。具体来说，解决了Microsoft Azure Attestation（MAA）服务在处理PCR11时的错误行为。PCR（Platform Configuration Registers）是可信计算中的重要组件，用于记录系统启动和运行时的关键度量值。

该修复确保了在Azure SNP环境下，Constellation能够正确验证节点的完整性证明，这对于依赖Azure机密计算VM的用户至关重要。修复后，用户将能够更可靠地在Azure SNP环境中部署和运行Constellation集群。

技术优化与改进

依赖项更新

开发团队对项目的依赖关系进行了多项优化：

• 更新了go-sev-guest依赖，修复了与badram平台信息相关的问题
• 移除了对google/go-sev-guest分叉的依赖，转而使用上游版本

这些变更简化了项目的依赖树，提高了构建的可靠性，同时也减少了潜在的安全风险。特别是go-sev-guest的更新，增强了项目对AMD SEV（Secure Encrypted Virtualization）技术的支持。

总结

Constellation v2.21.0版本在保持项目核心安全特性的同时，通过新增SSH连接功能提升了运维便利性，并通过Kubernetes版本更新确保了对最新技术的支持。Azure SNP认证的修复则进一步增强了在微软云环境下的可靠性。这些改进共同推动了Constellation作为企业级机密计算解决方案的成熟度。

对于现有用户，建议评估升级到v2.21.0版本，特别是那些在Azure SNP环境中运行集群的用户。新用户则可以从这个版本开始，体验更完善的SSH管理功能和最新的Kubernetes支持。