AMD SEV

アーキテクチャリファレンスFeex

AMD Secure Encrypted Virtualization（SEV）は、定義されたプラットフォーム脅威モデルの下で仮想マシンメモリを暗号化します。SEV、SEV-ES、およびSEV-SNPは異なる機能を提供するため、同等として扱ってはなりません。

確認しておくべき要点

仕組み

SEVはゲストメモリの暗号化をVM固有の鍵管理に関連付けます。SEV-ESはイグジット時のゲストレジスタ状態の保護を追加し、SEV-SNPはゲストメモリの整合性と所有権に関するより強固なメカニズムを追加します。ファームウェア、ハイパーバイザー、ゲストのサポート、および構成証明が、完全なコンフィデンシャルVM展開に関与します。

有用な場面

クラウド展開では、明示的にサポートされているコンフィデンシャルVMタイプを要求し、シークレットを解放する前にその構成証明エビデンスを検証できます。アプリケーションには依然として、セキュアI/O、認証されたピア、および受け入れ可能なプラットフォーム測定値に関するポリシーが必要です。

サポートと有効化の確認方法

AMDメモリー暗号化CPUID情報と正確なSEVバリアントを確認し、プロバイダの文書化されたインターフェースを介してファームウェア、ホスト/ゲストのサポート、および構成証明を検証してください。展開されている世代およびファームウェアに関する現行のAMDセキュリティガイダンスを参照してください。

機能、有効化、強制適用は個別に確認する必要があります。プロセッサが保護をサポートしていても、OS、アプリケーション、または仮想マシンポリシーがそれをアクティブ化しない場合があります。データベースのサポートフィールドは、稼働中のシステムの構成証明ではありません。

この機能が確立しない事項

一般的なSEVフィールドは、SEV-SNP、最新のファームウェア緩和策の状態、または特定の構成証明サービスを証明するものではありません。暗号化単体は整合性保護と同じではなく、メモリ暗号化がすべてのデバイスやネットワークパスを保護するわけでもありません。

実際の互換性とパフォーマンス

OS、ファームウェア、影響を受けるランタイムを最新の状態に維持してください。保護によって互換性の問題が露見した場合は、まずベンダーの診断機能とサポートされているアップデートを使用してください。広範な保護の切り替えは無関係なアプリケーションに影響を与える可能性があるため、明示的な展開および復旧ポリシーに従う必要があります。

実践的な検証チェックリスト

関係する正確なプロセッサまたはプラットフォームのモデル、ならびにアプリケーション、OS、ランタイムのバージョンを記録してください。実際のエラーや要件の文言をそのまま保持してください。
その正確なモデルの製造元リファレンスを確認し、プログラムが実行される環境で実効的な機能と有効化状態を検査してください。
選択したバイナリまたはバックエンドのすべての要件を比較してください。類似した名前の機能、エイリアス、または広範な技術表記だけでは不十分です。
アプリケーションが意図した実装を選択したことを確認してください。要件が満たされていない場合は、文書化された診断機能とサポートされているフォールバックを使用してください。
一度に1つのサポート対象の変更のみを行い、同じワークロードを繰り返してください。元の構成と復旧手順を常に利用可能な状態にしておいてください。

機能が記載されているにもかかわらずソフトウェアで使用できない場合

正確にどのコンポーネントが失敗しているかから調査を開始してください。ハードウェアデータベースに記載されているのは記録された機能です。オペレーティングシステムまたはハイパーバイザーは、異なる実効環境を公開することがあります。破損や無関係な未サポート命令でも同様の症状が発生する可能性があるため、不正命令エラーの場合も実際にフォールトの原因となった命令とバイナリビルドの調査が必要です。

正確なプラットフォーム向けにサポートされているアプリケーション、ドライバ、またはランタイムのバージョンをインストールし、必要に応じてベンダーが文書化しているベースラインまたはフォールバックビルドを使用してください。ソフトウェアアップデートによってプロセッサに欠落している命令を作り出すことはできません。ファームウェアおよびセキュリティポリシーの変更は、一般的な最適化レシピではなく、システム製造元の手順と復旧計画に従う必要があります。

本説明のソースと対象範囲

AMD Secure Encrypted Virtualization開発者向けリソース · AMD64 Architecture Programmer's Manual, Volume 2: System Programming

これらのリファレンスは、アーキテクチャの動作およびソフトウェア要件を規定しています。リンクされたハードウェアモデルページのすべての機能値を個別に検証するものではありません。モデルのサポート状況については、そのページの製造元エビデンスを使用し、実際の実効システム構成を確認してください。この記事はベンチマーク、認定、または独立したレビュー日を提供するものではありません。

出典と検証

エディトリアル所有権: Feex。独立したレビュー日は記録されていません。調査方法.

AMD Secure Encrypted Virtualization開発者向けリソース · SEV、SEV-ES、SEV-SNPを区別し、ファームウェアAPI、構成証明、メモリ暗号化に関するドキュメントへリンクしています。正確な展開については現行のセキュリティアドバイザリを確認してください。
AMD64 Architecture Programmer's Manual, Volume 2: System Programming · システムプログラミング、SVM、およびネストされた変換、リビジョン3.46。現在のドキュメントビューアにはJavaScriptが必要です。古いドキュメントのURLは廃止されている可能性があります。

この記事は役に立ちましたか？

「はい」または「いいえ」を選択するだけで完了します。必要に応じて理由を選択するか、簡単なメモを追加してください。