AMD SEV

您需要了解的内容

工作原理

SEV 将客户机内存加密与特定于虚拟机的密钥管理相结合。SEV-ES 增加了客户机退出时对其寄存器状态的保护，而 SEV-SNP 则围绕客户机内存完整性和所有权增加了更强大的机制。固件、虚拟机监控程序、客户机支持和证明共同构成了完整的机密虚拟机部署方案。

适用场景

云部署可以请求明确受支持的机密虚拟机类型，并在释放机密之前验证其证明凭据。应用程序仍然需要安全 I/O、经身份验证的对等端以及针对其所接受平台度量值的策略。

如何检查支持与启用状态

请检查 AMD 内存加密 CPUID 信息以及确切的 SEV 变体，然后通过提供商文档记录的接口验证固件、宿主机/客户机支持和证明。请查阅适用于已部署代系和固件的最新 AMD 安全指南。

功能、启用状态与强制执行情况必须分别进行检查。处理器可以支持某项保护，但操作系统、应用程序或虚拟机策略可能并未激活它。数据库中的支持字段并非对运行中系统的证明。

该特性未确立的内容

通用的 SEV 字段并不能证明支持 SEV-SNP、具有最新的固件缓解状态或特定的证明服务。仅有加密并不等同于完整性保护，且内存加密并不能确保每个设备或网络路径的安全。

实践中的兼容性与性能

保持操作系统、固件和相关运行时为最新版本。如果某项保护暴露了兼容性问题，请首先使用厂商诊断工具和受支持的更新。宽泛的保护开关可能会影响无关的应用程序，应遵循明确的部署和恢复策略。

实用验证核对清单

1. 记录所涉及的具体处理器或平台型号，以及应用程序、操作系统和运行时的版本。保留实际错误或要求的原始措辞。
2. 查阅该具体型号的制造商参考资料，然后检查程序运行环境中生效的功能与启用状态。
3. 逐项比对所选二进制文件或后端的每项要求。仅凭名称相似的特性、别名或宽泛的技术标签是不够的。
4. 确认应用程序选择了预期的实现。在不满足要求时，使用其文档中记录的诊断工具和受支持的回退方案。
5. 每次只进行一项受支持的更改并重复相同的负载测试。保留原始配置和恢复路径以便随时使用。

若特性已列出但软件无法使用

首先排查出现故障的具体组件。硬件数据库描述的是记录在案的功能；操作系统或虚拟机监控程序可能会呈现不同的生效环境。非法指令错误同样需要调查实际发生故障的指令和二进制构建版本，因为数据损坏或不相关的未受支持指令也可能产生类似症状。

安装适用于该特定平台的受支持应用程序、驱动程序或运行时版本，并在需要时使用厂商文档记录的基线或回退构建版本。软件更新无法凭空创造处理器缺失的指令。固件和安全策略的更改应遵循系统制造商的规程和恢复计划，而非通用的优化方案。

相关特性与实用区别

AMD SME · AMD-V 与 SVM · NPT 与 RVI · SGX

本说明的来源与适用范围

AMD 安全加密虚拟化开发者资源 · AMD64 架构程序员手册，第 2 卷：系统编程

这些参考资料确立了架构行为和软件要求。它们并不独立验证关联硬件型号页面上的每个特性值。如需了解型号支持情况，请使用该页面的制造商证据并检查实际生效的系统配置。本文不提供基准测试、认证或独立审查日期。

相关内容

这些实体与本文相关联。每个链接上均显示类型。

来源与验证

编辑归属：Feex。未记录独立审核日期。 我们的研究方式.

• AMD 安全加密虚拟化开发者资源 · 区分 SEV、SEV-ES 和 SEV-SNP，并提供固件 API、证明和内存加密文档的链接。请针对具体部署查阅最新的安全通告。
• AMD64 架构程序员手册，第 2 卷：系统编程 · 系统编程、SVM 和嵌套转换，修订版 3.46。当前的文档阅读器需要 JavaScript；较旧的文档 URL 可能已停用。