AMD SEV

您需要瞭解的資訊

運作方式

SEV 將客體記憶體加密與特定於 VM 的金鑰管理相結合。SEV-ES 增加了結束（exit）期間對客體暫存器狀態的保護，而 SEV-SNP 則針對客體記憶體的完整性和所有權增加了更強大的機制。韌體、Hypervisor、客體支援和證明（attestation）共同參與完整的機密 VM 部署。

適用場景

雲端部署可以請求明確受支援的機密 VM 類型，並在發布密鑰之前驗證其證明實證。應用程式仍需要安全的 I/O、經過驗證的對等端點以及適用於所接受平台測量值的原則。

如何檢查支援與啟用狀態

請檢查 AMD 記憶體加密 CPUID 資訊和確切的 SEV 變體，然後透過提供者記載的介面驗證韌體、主機/客體支援和證明。請參閱最新的 AMD 安全指南，以獲取所部署世代和韌體的相關資訊。

能力、啟用狀態與強制執行狀態必須分別檢查。處理器可能支援某項保護，但 OS、應用程式或虛擬機器原則並未予以啟用。資料庫支援欄位並非執行中系統的證明。

該功能未涵蓋的範疇

泛用的 SEV 欄位無法證明具備 SEV-SNP、最新的韌體緩解狀態或特定的證明服務。單純的加密不等於完整性保護，且記憶體加密並不能保護每個裝置或網路路徑的安全。

實務中的相容性與效能

使 OS、韌體和受影響的執行階段保持最新。若保護機制引發相容性問題，請先使用廠商診斷工具和受支援的更新。廣泛的保護開關可能會影響無關的應用程式，應遵循明確的部署與復原原則。

實用驗證檢查清單

1. 記錄所涉及的確切處理器或平台型號，以及應用程式、OS 和執行階段版本。保留實際錯誤或需求的確切措辭。
2. 檢查該確切型號的原廠參考資料，然後在程式執行的環境中檢查有效功能和啟用狀態。
3. 比對所選二進位檔或後端的所有需求。僅憑名稱相似的功能、別名或廣泛的技術標籤是不夠的。
4. 確認應用程式已選擇預期的實作方式。當需求未獲滿足時，請使用其記載的診斷工具和受支援的後備機制。
5. 一次進行一項受支援的變更，並重複執行相同的負載。隨時保留原始設定和復原途徑。

如果列出該功能但軟體無法使用

從確切發生失敗的元件著手。硬體資料庫描述的是記錄的硬體能力；作業系統或 Hypervisor 可能呈現不同的有效環境。非法指令錯誤同樣需要調查實際出錯的指令和二進位建置版本，因為損毀或無關的不受支援指令也可能產生類似的症狀。

安裝適用於該確切平台的受支援應用程式、驅動程式或執行階段版本，並在需要時使用廠商記載的基準建置版本或後備建置版本。軟體更新無法無中生有地創造處理器所缺乏的指令。韌體與安全性原則的變更應遵循系統製造商的程序和復原計劃，而非泛用的最佳化偏方。

相關功能與實用區別

AMD SME · AMD-V 與 SVM · NPT 與 RVI · SGX

本說明的來源與範圍

AMD Secure Encrypted Virtualization 開發者資源 · AMD64 架構程式設計師手冊，第 2 卷：系統程式設計

這些參考資料確立了架構行為和軟體需求。它們不會獨立驗證連結硬體型號頁面上的每個功能數值。有關型號支援，請使用該頁面的製造商實證並檢查有效系統組態。本文不提供效能基準測試、認證或獨立審查日期。

相關項目

這些實體與本文連結。每個連結上都會顯示類型。

來源與驗證

編輯權限：Feex。未記錄獨立審查日期。 我們的研究方式.

• AMD Secure Encrypted Virtualization 開發者資源 · 區分 SEV、SEV-ES 和 SEV-SNP，並提供韌體 API、證明和記憶體加密文件的連結。針對確切部署，請查閱最新的安全性諮詢。
• AMD64 架構程式設計師手冊，第 2 卷：系統程式設計 · 系統程式設計、SVM 與嵌套轉譯，修訂版 3.46。目前的說明文件檢視器需要 JavaScript；較舊的文件 URL 可能已淘汰。