ghcr.io/confidential-containers/key-broker-service:built-in-as-v0.10.1

机密容器（Confidential Containers）是云原生领域中保障数据安全的关键技术，它借助硬件隔离的可信执行环境（TEE），让容器内数据在使用过程中避免被未授权访问。而密钥、证书这类敏感资源的安全分发与管理，是机密容器稳定运行的核心支撑，key-broker-service（KBS）正是为此设计的核心组件。

作为机密容器生态里的密钥代理服务，KBS主要承担连接机密容器实例与后端密钥存储系统的角色，实现敏感资源的安全传递。它通过严格的身份验证机制（比如基于TEE提供的硬件身份凭证）来确认客户端的合法性，确保只有可信的机密容器才能获取所需资源。同时，KBS支持细粒度的访问控制策略，能依据容器的身份、运行环境等属性动态调整资源访问权限，进一步降低信息泄露风险。

在技术适配方面，KBS兼容多种主流TEE架构，像Intel SGX、AMD SEV、ARM CCA等，可满足不同硬件平台的机密计算需求。它通过标准化的API（如SPDM协议）与容器内的客户端组件（例如cc-agent）通信，简化了跨平台集成流程。此外，KBS还具备资源元数据管理和分发日志记录功能，方便管理员进行安全审计与问题追溯。

在实际应用中，KBS常用于***、等对数据安全要求极高的场景。比如在交易系统中，它能安全分发加密密钥，确保交易数据在机密容器内解密处理时不被篡改；在***数据处理场景，它可管理患者隐私数据的访问密钥，让合规的容器实例按需获取数据，同时防止密钥泄露。通过KBS的支撑，机密容器的安全边界得到强化，为用户提供了从存储到使用的端到端数据保护能力。