OpenVINO™ セキュリティー・アドオン#

ステップ 1: ホストマシン上でパッケージをセットアップ#

このステップは、前提条件を満たすインテル® Core™ またはインテル® Xeon® プロセッサー・マシンで開始してください。

1. トラステッド・プラットフォーム・モジュール (TPM) サポートのテスト:

   dmesg | grep -i TPM

   出力には、カーネル・ブート・ログ内の TPM の可用性が示されます。TPM サポートが利用可能であることを示すために、次のデバイスを検索します:

   • /dev/tpm0

   • /dev/tpmrm0

   この情報が表示されない場合、システムは OpenVINO™ セキュリティー・アドオンを使用する前提条件が満たされていません。

2. BIOS でハードウェアの仮想化サポートが有効になっていることを確認します:

   $ kvm-ok

   出力には次のように表示されます: INFO: /dev/kvm exists KVM acceleration can be used

   表示が異なる場合は、BIOS 設定を変更してハードウェア仮想化を有効にしてください。

   kvm-ok コマンドが見つからない場合は、インストールします:

   sudo apt install -y cpu-checker

3. カーネルベースの仮想マシン (KVM) および QEMU パッケージをインストールしてください。

   sudo apt install qemu qemu-kvm libvirt-bin bridge-utils virt-manager

4. QEMU のバージョンを確認します:

   qemu-system-x86_64 --version

   2.12.0 より前の QEMU バージョンを示している場合は、QEMU ウェブサイトから最新の QEMU バージョンをダウンロードおよびコンパイルしてインストールします。

5. libtpm パッケージのビルドとインストール。

6. swtpm パッケージのビルドとインストール。

7. swtpm パッケージを $PATH 環境変数に追加します。

8. ソフトウェア・ツール tpm2-tss をインストールします。インストール情報については、こちらを参照してください。

9. ソフトウェア・ツール tpm2-abmrd をインストールします。インストール情報については、こちらを参照してください。

10. tpm2-tools をインストールします。インストール情報については、こちらを参照してください。

11. Docker パッケージ をインストールします。

    注

    install_host_deps.sh スクリプトの使用にかかわりなく、ステップ 12 を完了して、ホストマシン上でのパッケージのセットアップを完了します。

12. プロキシーの背後で実行している場合は、Docker のプロキシーを設定します。

以下のものがインストールされ、使用可能です:
* カーネルベースの仮想マシン (KVM)
* QEMU
* SW-TPM
* HW-TPM サポート
* Docker

ネットワーク用にホストマシンを構成する準備ができました。

ステップ 2: ホストマシン上でネットワークをセットアップ#

このステップは、モデル開発者と独立系ソフトウェア・ベンダーの役割を組み合わせたものです。モデルユーザー VM が別の物理ホストで実行される場合、そのホストに対しても次のステップを繰り返します。

このステップでは、2 つのネットワーク・ブリッジを準備します:

• KVM がインターネット経由でアクセスできるグローバル IP アドレス。これは、ユーザーのマシン上の OpenVINO™ セキュリティー・アドオン・ランタイム・ソフトウェアが有効なライセンスを持っていることを確認するのに使用するアドレスです。

• ゲスト VM と QEMU ホスト・オペレーティング・システム間の通信を提供するホスト専用ローカルアドレス。

このステップの例では、次の名前を使用します。実際の構成では別の名前が使用される場合があります:

• 50-cloud-init.yaml 設定ファイル名の例として。

• eno1 ネットワーク・インターフェイス名の例として。

• br0 ブリッジ名の例として。

• virbr0 ブリッジ名の例として。

1. ネットワーク構成ファイルを開いて編集します。このファイルは /etc/netplan に次のような名前であります: 50-cloud-init.yaml

2. ファイル内で次の行を探します:

   network: 
     ethernets: 
       eno1: 
         dhcp4: true 
         dhcp-identifier: mac 
     version: 2

3. 既存の回線を変更し、br0 ネットワーク・ブリッジを追加します。この変更により、外部ネットワークへのアクセスが可能になります:

   network: 
     ethernets: 
       eno1: dhcp4: false 
     bridges: 
       br0: 
         interfaces: [Eno1]eno1] 
         dhcp4: yes 
           dhcp-identifier: mac 
     version: 2

4. ネットワーク構成ファイルを保存して閉じます。

5. 2 つのコマンドを実行して、更新されたネットワーク構成ファイルをアクティブ化します。SSH を使用している場合、これらのコマンドを実行するとネットワーク接続が失われる可能性があります。その場合、ネットワークに再接続します。

   sudo netplan generate

   sudo netplan apply
    
   ブリッジが作成され、新しいブリッジに IP アドレスが割り当てられます。

6. 新しいブリッジを確認します:

   ip a | grep br0

   出力は次のようになり、有効な IP アドレスが表示されます:

   4: br0:<BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000inet 123.123.123.123/<mask> brd 321.321.321.321 scope global dynamic br0

7. br0-qemu-ifup という名前のスクリプトを作成して、br0 インターフェイスを起動します。スクリプトに次の内容を追加します:

   #!/bin/sh 
   nic=$1 
   if [ -f /etc/default/qemu-kvm ]; then 
     ./etc/default/qemu-kvm 
   fi 
   switch=br0 
   ifconfig $nic 0.0.0.0 up 
   brctl addif ${switch} $nic

8. br0-qemu-ifdown という名前のスクリプトを作成して、br0 インターフェイスを停止します。スクリプトに次の内容を追加します:

   #!/bin/sh 
   nic=$1 
   if [ -f /etc/default/qemu-kvm ]; then 
     ./etc/default/qemu-kvm 
   fi 
   switch=br0 
   brctl delif $switch $nic 
   ifconfig $nic 0.0.0.0 down

9. virbr0-qemu-ifup という名前のスクリプトを作成して、virbr0 インターフェイスを起動します。スクリプトに次の内容を追加します:

   #!/bin/sh 
   nic=$1 
   if [ -f /etc/default/qemu-kvm ]; then 
     ./etc/default/qemu-kvm 
   fi 
   switch=virbr0 
   ifconfig $nic 0.0.0.0 up 
   brctl addif ${switch} $nic

10. virbr0-qemu-ifdown という名前のスクリプトを作成して、virbr0 インターフェイスを停止します。スクリプトに次の内容を追加します:

    #!/bin/sh 
    nic=$1 
    if [ -f /etc/default/qemu-kvm ]; then 
      ./etc/default/qemu-kvm 
    fi 
    switch=virbr0 
    brctl delif $switch $nic 
    ifconfig $nic 0.0.0.0 down

QEMU ネットワーク構成の詳細については、QEMU のドキュメントを参照してください。

ネットワークはホストマシン上に設定されます。ステップ 3 に進み、モデル開発者と独立系ソフトウェア・ベンダーの役割を組み合わせたゲスト VM を準備します。

ステップ 3: OpenVINO™ セキュリティー・アドオンをクローン#

OpenVINO™ セキュリティー・アドオンをダウンロードします。

ステップ 4: モデル開発者と独立系ソフトウェア・ベンダーのロールを組み合わせて 1 つのゲスト VM をセットアップ#

役割ごとに、ゲスト VM 仮想マシンを準備する必要があります。このリリースでは、モデル開発者ロールと独立系ソフトウェア・ベンダーの役割が組み合わされているため、これらのステップでは、ovsa_isv という 1 つのゲスト VM をセットアップするように指示されています。

ホストマシンでこれらのステップを開始します。

オプションとして、virsh と仮想マシン・マネージャーを使用してゲスト VM を作成および起動できます。この手順の詳細は、libvirtd のドキュメントを参照してください。

1. Ubuntu 18.04 の 64 ビット PC (AMD64) コンピューター用サーバー のインストール ISO イメージをダウンロードします。

2. モデル開発者および独立系ソフトウェア・ベンダーの役割を持つゲスト VM として機能する空の仮想ディスクイメージを作成します:

   sudo qemu-img create -f qcow2 <path>/ovsa_isv_dev_vm_disk.qcow2 20G

3. ゲスト VM に Ubuntu 18.04 をインストールします。ゲスト VM に ovsa_isv という名前を付けます:

   sudo qemu-system-x86_64 -m 8192 -enable-kvm \ 
   -cpu host \ 
   -drive if=virtio,file=<path-to-disk-image>/ovsa_isv_dev_vm_disk.qcow2,cache=none \ 
   -cdrom <path-to-iso-image>/ubuntu-18.04.5-live-server-amd64.iso \ 
   -device e1000,netdev=hostnet1,mac=52:54:00:d1:66:5f \ 
   -netdev tap,id=hostnet1,script=<path-to-scripts>/virbr0-qemu-ifup,downscript=<path-to-scripts>/virbr0-qemu-ifdown \ 
   -vnc :1

4. VNC クライアントを <host-ip-address>:1 で接続します

5. 画面の指示に従って、ゲスト VM のインストールを完了します。VM に次の名前を付けます: ovsa_isv_dev

6. ゲスト VM をシャットダウンします。

7. cdrom イメージのオプションを削除した後、ゲスト VM を再起動します:

   sudo qemu-system-x86_64 -m 8192 -enable-kvm \ 
   -cpu host \ 
   -drive if=virtio,file=<path-to-disk-image>/ovsa_isv_dev_vm_disk.qcow2,cache=none \ 
   -device e1000,netdev=hostnet1,mac=52:54:00:d1:66:5f \ 
   -netdev tap,id=hostnet1,script=<path-to-scripts>/virbr0-qemu-ifup,downscript=<path-to-scripts>/virbr0-qemu-ifdown \ 
   -vnc :1

8. 必要な追加のソフトウェアをインストールするには、次のオプションのいずれかを選択します:

   • オプション 1: スクリプトを使用して追加のソフトウェアをインストール

     1. スクリプト install_guest_deps.sh を OVSA リポジトリーの Scripts/reference directory ディレクトリーからゲスト VM にコピーします。

     2. スクリプトを実行します。

     3. ゲスト VM をシャットダウンします。

   • オプション 2追加のソフトウェアを手動でインストール

     
     

     1. ソフトウェア・ツール tpm2-tss をインストールします。インストール情報については、こちらを参照してください。
     2. ソフトウェア・ツール tpm2-abmrd をインストールします。インストール情報については、こちらを参照してください。
     3. tpm2-tools をインストールします。インストール情報については、こちらを参照してください。
     4. Docker パッケージ をインストールします。
     5. ゲスト VM をシャットダウンします。

9. ホスト上で、仮想 TPM デバイスをサポートするディレクトリーを作成し、その証明書を提供します。root のみがこのディレクトリーに対する読み取り/書き込み権限を持つ必要があります:

   
   sudo mkdir -p /var/OVSA/ 
   sudo mkdir /var/OVSA/vtpm 
   sudo mkdir /var/OVSA/vtpm/vtpm_isv_dev 
   
   export XDG_CONFIG_HOME=~/.config 
   /usr/share/swtpm/swtpm-create-user-config-files 
   swtpm_setup --tpmstate /var/OVSA/vtpm/vtpm_isv_dev --create-ek-cert --create-platform-cert --overwrite --tpm2 --pcr-banks - 
   .. note::
   
   手順 10 と 11 では、コマンドを手動で実行する代わりに、OpenVINO™ セキュリティー・アドオン・リポジトリーの ``Scripts/reference`` ディレクトリーにある ``start_ovsa_isv_dev_vm.sh`` スクリプトをコピーして編集できます。スクリプトを使用する場合は、モデル開発者であるか、独立系ソフトウェア・ベンダーであるかに関係なく、ファイル名に ``isv`` が含まれるスクリプトを選択します。スクリプトを編集して、正しいディレクトリーの場所を指定し、各ゲスト VM の ``vnc`` を増やします。

10. ホスト上で vTPM を開始し、HW TPM データを NVRAM に書き込み、QEMU の vTPM を再起動します:

     sudo swtpm socket --tpm2 --server port=8280 \ 
                      --ctrl type=tcp,port=8281 \ 
                      --flags not-need-init --tpmstate dir=/var/OVSA/vtpm/vtpm_isv_dev & 
    
    sudo tpm2_startup --clear -T swtpm:port=8280 
    sudo tpm2_startup -T swtpm:port=8280 
    python3 <path to Security-Addon source>/Scripts/host/OVSA_write_hwquote_swtpm_nvram.py 8280 
    sudo pkill -f vtpm_isv_dev 
    
    swtpm socket --tpmstate dir=/var/OVSA/vtpm/vtpm_isv_dev \ 
      --tpm2 \ 
      --ctrl type=unixio,path=/var/OVSA/vtpm/vtpm_isv_dev/swtpm-sock \ 
      --log level=20

11. ゲスト VM を起動します:

    sudo qemu-system-x86_64 \ 
     -cpu host \ 
     -enable-kvm \ 
     -m 8192 \ 
     -smp 8,sockets=1,cores=8,threads=1 \ 
     -device e1000,netdev=hostnet0,mac=52:54:00:d1:66:6f \ 
     -netdev tap,id=hostnet0,script=<path-to-scripts>/br0-qemu-ifup,downscript=<path-to-scripts>/br0-qemu-ifdown \ 
     -device e1000,netdev=hostnet1,mac=52:54:00:d1:66:5f \ 
     -netdev tap,id=hostnet1,script=<path-to-scripts>/virbr0-qemu-ifup,downscript=<path-to-scripts>/virbr0-qemu-ifdown \ 
     -drive if=virtio,file=<path-to-disk-image>/ovsa_isv_dev_vm_disk.qcow2,cache=none \ 
     -chardev socket,id=chrtpm,path=/var/OVSA/vtpm/vtpm_isv_dev/swtpm-sock \ 
     -tpmdev emulator,id=tpm0,chardev=chrtpm \ 
     -device tpm-tis,tpmdev=tpm0 \ 
     -vnc :1

    コマンドで QEMU ランタイムオプションを使用して、このゲスト VM に割り当てられたメモリー量または CPU を変更します。

12. VNC クライアントを使用して、次のゲスト VM にログオンします: <host-ip-address>:1

ステップ 5: ユーザーロール用に 1 つのゲスト VM をセットアップ#

1. ユーザーの役割を持つゲスト VM を作成するには、次のオプションのいずれかを選択します:

   オプション 1: ovsa_isv_dev_vm_disk.qcow2 ディスクイメージをコピーして名前を変更します

   1. ovsa_isv_dev_vm_disk.qcow2 ディスクイメージを ovsa_runtime_vm_disk.qcow2 という名前の新しいイメージにコピーします。ステップ 4 で ovsa_isv_dev_vm_disk.qcow2 ディスクイメージを作成しました。

   2. 新しいイメージをブートします。

   3. ホスト名を ovsa_isv_dev から ovsa_runtime に変更します。

   sudo hostnamectl set-hostname ovsa_runtime

   4. 新しいイメージの ovsa_isv_dev のすべてのインスタンスを ovsa_runtime に置き換えます。

   sudo nano /etc/hosts

   5. /etc/machine-id を変更します:

   sudo rm /etc/machine-id systemd-machine-id-setup

   6. ゲスト VM をシャットダウンします。

   オプション 2: ゲスト VM を手動で作成します

   1. 空の仮想ディスクイメージを作成します:

   sudo qemu-img create -f qcow2 <path>/ovsa_ovsa_runtime_vm_disk.qcow2 20G

   2. ゲスト VM に Ubuntu 18.04 をインストールします。ゲスト VM に ovsa_runtime という名前を付けます:

   sudo qemu-system-x86_64 -m 8192 -enable-kvm \ 
   -cpu host \ 
   -drive if=virtio,file=<path-to-disk-image>/ovsa_ovsa_runtime_vm_disk.qcow2,cache=none \ 
   -cdrom <path-to-iso-image>/ubuntu-18.04.5-live-server-amd64.iso \ 
   -device e1000,netdev=hostnet1,mac=52:54:00:d1:66:5f \ 
   -netdev tap,id=hostnet1,script=<path-to-scripts>/virbr0-qemu-ifup, downscript=<path-to-scripts>/virbr0-qemu-ifdown \ 
   -vnc :2

   3. VNC クライアントを <host-ip-address>:2 で接続します。

   4. 画面の指示に従って、ゲスト VM のインストールを完了します。ゲスト VM に ovsa_runtime という名前を付けます。

   5. ゲスト VM をシャットダウンします。

   6. ゲスト VM を再起動します:

   sudo qemu-system-x86_64 -m 8192 -enable-kvm \ 
   -cpu host \ 
   -drive if=virtio,file=<path-to-disk-image>/ovsa_ovsa_runtime_vm_disk.qcow2,cache=none \ 
   -device e1000,netdev=hostnet1,mac=52:54:00:d1:66:5f \ 
   -netdev tap,id=hostnet1,script=<path-to-scripts>/virbr0-qemu-ifup, downscript=<path-to-scripts>/virbr0-qemu-ifdown \ 
   -vnc :2

   7. 必要な追加のソフトウェアをインストールするには、次のオプションのいずれかを選択します:

      オプション 1: スクリプトを使用して追加のソフトウェアをインストール
      1. スクリプト install_guest_deps.sh を OVSA リポジトリーの Scripts/reference ディレクトリーからゲスト VM にコピーします。
      2. スクリプトを実行します。
      3. ゲスト VM をシャットダウンします。

      オプション 2: 追加のソフトウェアを手動でインストール
      1. ソフトウェア・ツール tpm2-tss をインストールします。インストール情報については、ここを参照してください。
      2. tpm2-abmrd ソフトウェア・ツールインストールします。インストール情報については、ここを参照してください。
      3. tpm2-tools をインストールします。インストール情報については、こちらを参照してください。
      4. Docker パッケージ をインストールします。
      5. ゲスト VM をシャットダウンします。

2. 仮想 TPM デバイスをサポートするディレクトリーを作成し、その証明書を提供します。root のみがこのディレクトリーに対する読み取り/書き込み権限を持つ必要があります:

    sudo mkdir /var/OVSA/vtpm/vtpm_runtime 
   
   export XDG_CONFIG_HOME=~/.config /usr/share/swtpm/swtpm-create-user-config-files 
   swtpm_setup --tpmstate /var/OVSA/vtpm/vtpm_runtime --create-ek-cert --create-platform-cert --overwrite --tpm2 --pcr-banks - 
   
   .. note:: 
   
   手順 3 と 4 では、コマンドを手動で実行する代わりに、OpenVINO™ セキュリティー・アドオン・リポジトリーの ``Scripts/reference`` ディレクトリーにある ``start_ovsa_runtime_vm.sh`` スクリプトをコピーして編集できます。スクリプトを編集して、正しいディレクトリーの場所を指定し、各ゲスト VM の ``vnc`` を増やします。つまり、同じホストマシン上に 3 番目のゲスト VM を作成する場合は、``-vnc :2`` を ``-vnc :3`` に変更します。

3. vTPM を開始し、HW TPM データを NVRAM に書き込み、QEMU の vTPM を再起動します:

   sudo swtpm socket --tpm2 --server port=8380 \ 
                     --ctrl type=tcp,port=8381 \ 
                     --flags not-need-init --tpmstate dir=/var/OVSA/vtpm/vtpm_runtime & 
   
   sudo tpm2_startup --clear -T swtpm:port=8380 
   sudo tpm2_startup -T swtpm:port=8380 
   python3 <path to Security-Addon source>/Scripts/host/OVSA_write_hwquote_swtpm_nvram.py 8380 
   sudo pkill -f vtpm_runtime 
   
   swtpm socket --tpmstate dir=/var/OVSA/vtpm/vtpm_runtime \ 
   --tpm2 \ 
   --ctrl type=unixio,path=/var/OVSA/vtpm/vtpm_runtime/swtpm-sock \ 
   --log level=20

4. 新しいターミナルでゲスト VM を起動します:

   sudo qemu-system-x86_64 \ 
    -cpu host \ 
    -enable-kvm \ -m 8192 \ 
    -smp 8,sockets=1,cores=8,threads=1 \ 
    -device e1000,netdev=hostnet2,mac=52:54:00:d1:67:6f \ 
    -netdev tap,id=hostnet2,script=<path-to-scripts>/br0-qemu-ifup,downscript=<path-to-scripts>/br0-qemu-ifdown \ 
    -device e1000,netdev=hostnet3,mac=52:54:00:d1:67:5f \ 
    -netdev tap,id=hostnet3,script=<path-to-scripts>/virbr0-qemu-ifup,downscript=<path-to-scripts>/virbr0-qemu-ifdown \ 
    -drive if=virtio,file=<path-to-disk-image>/ovsa_runtime_vm_disk.qcow2,cache=none \ 
    -chardev socket,id=chrtpm,path=/var/OVSA/vtpm/vtpm_runtime/swtpm-sock \ 
    -tpmdev emulator,id=tpm0,chardev=chrtpm \ 
    -device tpm-tis,tpmdev=tpm0 \ 
    -vnc :2

   コマンドで QEMU ランタイムオプションを使用して、このゲスト VM に割り当てられたメモリー量または CPU を変更します。

5. VNC クライアントを使用して、<host-ip-address>:<x> のゲスト VM にログオンします。ここで、<x> は start_ovsa_isv_vm.sh またはステップ 8 の vnc 番号に対応します。

ステップ 1: OpenVINO™ モデルサーバーのイメージをビルド#

OpenVINO™ セキュリティー・アドオンのビルドは、OpenVINO™ モデルサーバーの Docker コンテナに依存します。まず、ホスト上で OpenVINO™ モデルサーバーをダウンロードしてビルドします。

1. OpenVINO™ モデルサーバー・ソフトウェアをダウンロード

2. OpenVINO™ モデルサーバーのイメージをビルド

   git clone https://github.com/openvinotoolkit/model_server.git 
   cd model_server 
   make docker_build

ステップ 2: すべてのロールに必要なソフトウェアをビルド#

このステップは、モデル開発者と独立系ソフトウェア・ベンダー、およびユーザーの役割を組み合わせたものです

1. 前に複製したトップレベルの OpenVINO™ セキュリティー・アドオンのソース・ディレクトリーに移動します。

   cd security_addon

2. OpenVINO™ セキュリティー・アドオンをビルド:

   make clean all 
   sudo -s make package 
   ``` 
   
   次のパッケージが ``release_files`` ディレクトリーの下に作成されます: 
   
   - ``ovsa-kvm-host.tar.gz``: ホストマシンファイル
   - ``ovsa-developer.tar.gz``: モデル開発者と独立系ソフトウェア開発者向け
   - ``ovsa-model-hosting.tar.gz``: ユーザー向け

ステップ 3: ホスト・ソフトウェアのインストール#

このステップは、モデル開発者、独立系ソフトウェア・ベンダー、およびユーザーの役割を合わせたものです。

1. release_files ディレクトリーに移動します:

   cd release_files

2. パスをセットアップ:

   export OVSA_RELEASE_PATH=$PWD

3. OpenVINO™ セキュリティー・アドオン・ソフトウェアをホストマシンにインストールします:

   cd $OVSA_RELEASE_PATH 
   tar xvfz ovsa-kvm-host.tar.gz 
   cd ovsa-kvm-host 
   ./install.sh

複数のホストマシンを使用している場合、それぞれのホストマシンでステップ 3 を繰り返します。

ステップ 4: OpenVINO™ セキュリティー・アドオンのモデル開発者/ISV コンポーネントのインストール#

このステップは、モデル開発者と独立系ソフトウェア・ベンダーの役割を組み合わせたものです。ゲスト VM への参照は ovsa_isv_dev です。

1. <user> としてゲスト VM にログオンします。

2. ホーム・ディレクトリーに OpenVINO™ セキュリティー・アドオン・ディレクトリーを作成します

   mkdir -p ~/OVSA

3. ゲスト VM の外部のホストマシンに移動します

4. ovsa-developer.tar.gz を release_files からゲスト VM にコピーします:

   cd $OVSA_RELEASE_PATH 
   scp ovsa-developer.tar.gz username@<isv-developer-vm-ip-address>:/<username-home-directory>/OVSA

5. ゲスト VM に移動します:

6. ovsa ユーザーを作成します

   sudo useradd -m ovsa 
   sudo passwd ovsa

7. ソフトウェアをゲスト VM にインストールします:

   cd ~/OVSA 
   tar xvfz ovsa-developer.tar.gz 
   cd ovsa-developer 
   sudo ./install.sh

8. 別のターミナルで ovsa ユーザーとしてライセンスサーバーを起動します。

   source /opt/ovsa/scripts/setupvars.sh 
   cd /opt/ovsa/bin 
   ./license_server

   注

   ファイアウォールの内側にいる場合は、プロキシー構成を確認して設定し、ライセンスサーバーが証明書を検証できることを確認してください。

ステップ 5: OpenVINO™ セキュリティー・アドオンのモデルをホスティングするコンポーネントのインストール#

このステップはユーザー向けです。ゲスト VM への参照は ovsa_runtime です。

モデル・ホスティング・コンポーネントは、OpenVINO™ モデルサーバーの NGINX Docker をベースとした OpenVINO™ セキュリティー・アドオン・ランタイム Docker コンテナをインストールし、アクセス制御されたモデルをホストします。

1. <user> としてゲスト VM にログオンします。

2. ホーム・ディレクトリーに OpenVINO™ セキュリティー・アドオン・ディレクトリーを作成します

   mkdir -p ~/OVSA

3. ホストマシン上で、ovsa-model-hosting.tar.gz を release_files からゲスト VM にコピーします:

   cd $OVSA_RELEASE_PATH 
   scp ovsa-model-hosting.tar.gz username@<runtime-vm-ip-address>:/<username-home-directory>/OVSA

4. ゲスト VM に移動します:

5. ovsa ユーザーを作成します

   sudo useradd -m ovsa 
   sudo passwd ovsa 
   sudo usermod -aG docker ovsa

6. ソフトウェアをゲスト VM にインストールします:

   cd ~/OVSA 
   tar xvfz ovsa-model-hosting.tar.gz 
   cd ovsa-model-hosting 
   sudo ./install.sh

モデル開発者向け手順#

モデル開発者はモデルを作成し、アクセス制御を定義し、ユーザーライセンスを作成します。モデルが作成され、アクセス制御が有効になり、ライセンスの準備が完了したら、モデル開発者はモデルユーザーと共有する前にライセンスの詳細を独立系ソフトウェア・ベンダーに提供します。

ゲスト VM への参照は ovsa_isv_dev です。ゲスト VM に ovsa ユーザーとしてログオンします。

mkdir -p ~/OVSA/artefacts 
cd ~/OVSA/artefacts 
export OVSA_DEV_ARTEFACTS=$PWD 
source /opt/ovsa/scripts/setupvars.sh

curl --create-dirs https://download.01.org/opencv/2021/openvinotoolkit/2021.1/open_../legacy-features/model-zoo/models_bin/1/face-detection-retail-0004/FP32/face-detection-retail-0004.xml https://download.01.org/opencv/2021/openvinotoolkit/2021.1/open_../legacy-features/model-zoo/models_bin/1/face-detection-retail-0004/FP32/face-detection-retail-0004.bin -o model/face-detection-retail-0004.xml -o model/face-detection-retail-0004.bin

uuid=$(uuidgen) 
/opt/ovsa/bin/ovsatool controlAccess -i model/face-detection-retail-0004.xml model/face-detection-retail-0004.bin -n "face detection" -d "face detection retail" -v 0004 -p face_detection_model.dat -m face_detection_model.masterlic -k isv_keystore -g $uuid

/opt/ovsa/bin/ovsaruntime gen-tcb-signature -n "Face Detect @ Runtime VM" -v "1.0" -f face_detect_runtime_vm.tcb -k isv_keystore

モデルユーザーの手順#

ゲスト VM への参照は ovsa_rumtime です。ゲスト VM に ovsa ユーザーとしてログオンします。

./start_secure_ovsa_model_server.sh

python3 face_detection.py --grpc_port 3335 --batch_size 1 --width 300 --height 300 --input_images_dir images --output_dir results --tls --server_cert /var/OVSA/Modelserver/server.pem --client_cert /var/OVSA/Modelserver/client.pem --client_key /var/OVSA/Modelserver/client.key --model_name controlled-access-model