AMD SME

您需要了解的内容

工作原理

该内存加密架构通过既定的地址位机制和平台控制来识别加密映射。操作系统必须考虑加密位及其对可用物理地址位的影响，并根据平台规则处理共享内存或设备可见内存。

适用场景

操作系统可以进行编排，以便在数据传输到外部内存时对相应的内存页进行加密。DMA 缓冲区和其他共享映射需要兼容的处理方式，因此孤立地启用某个位并不是一套完整的部署规程。

如何检查支持与启用状态

请使用 AMD 内存加密 CPUID 信息以及确切的平台固件/操作系统文档来确定支持和启用状态。检查当前生效的加密策略和设备兼容性。在更改固件内存加密设置之前，请妥善保留厂商的恢复指南。

功能、启用状态与强制执行情况必须分别进行检查。处理器可以支持某项保护，但操作系统、应用程序或虚拟机策略可能并未激活它。数据库中的支持字段并非对运行中系统的证明。

该特性未确立的内容

SME 并不隐含各个客户机之间的隔离、内存完整性、SEV-SNP 或防范特权软件发起的每种攻击。不应根据概览字段就认定透明平台加密策略与操作系统管理的 SME 配置完全相同。

实践中的兼容性与性能

保持操作系统、固件和相关运行时为最新版本。如果某项保护暴露了兼容性问题，请首先使用厂商诊断工具和受支持的更新。宽泛的保护开关可能会影响无关的应用程序，应遵循明确的部署和恢复策略。

实用验证核对清单

1. 记录所涉及的具体处理器或平台型号，以及应用程序、操作系统和运行时的版本。保留实际错误或要求的原始措辞。
2. 查阅该具体型号的制造商参考资料，然后检查程序运行环境中生效的功能与启用状态。
3. 逐项比对所选二进制文件或后端的每项要求。仅凭名称相似的特性、别名或宽泛的技术标签是不够的。
4. 确认应用程序选择了预期的实现。在不满足要求时，使用其文档中记录的诊断工具和受支持的回退方案。
5. 每次只进行一项受支持的更改并重复相同的负载测试。保留原始配置和恢复路径以便随时使用。

若特性已列出但软件无法使用

首先排查出现故障的具体组件。硬件数据库描述的是记录在案的功能；操作系统或虚拟机监控程序可能会呈现不同的生效环境。非法指令错误同样需要调查实际发生故障的指令和二进制构建版本，因为数据损坏或不相关的未受支持指令也可能产生类似症状。

安装适用于该特定平台的受支持应用程序、驱动程序或运行时版本，并在需要时使用厂商文档记录的基线或回退构建版本。软件更新无法凭空创造处理器缺失的指令。固件和安全策略的更改应遵循系统制造商的规程和恢复计划，而非通用的优化方案。

相关特性与实用区别

AMD SEV · IOMMU · 执行禁用位 (NX)

本说明的来源与适用范围

AMD 安全加密虚拟化开发者资源 · Linux 内核：AMD 内存加密 · AMD64 架构程序员手册，第 2 卷：系统编程

这些参考资料确立了架构行为和软件要求。它们并不独立验证关联硬件型号页面上的每个特性值。如需了解型号支持情况，请使用该页面的制造商证据并检查实际生效的系统配置。本文不提供基准测试、认证或独立审查日期。

相关内容

这些实体与本文相关联。每个链接上均显示类型。

来源与验证

编辑归属：Feex。未记录独立审核日期。 我们的研究方式.

• AMD 安全加密虚拟化开发者资源 · 区分 SEV、SEV-ES 和 SEV-SNP，并提供固件 API、证明和内存加密文档的链接。请针对具体部署查阅最新的安全通告。
• Linux 内核：AMD 内存加密 · SME/SEV 启用、加密地址位与物理地址减少。描述的是操作系统的实现，而非涵盖每一种平台策略。
• AMD64 架构程序员手册，第 2 卷：系统编程 · 系统编程、SVM 和嵌套转换，修订版 3.46。当前的文档阅读器需要 JavaScript；较旧的文档 URL 可能已停用。