跳至內容

Mode-Based Execute Control

架構參考資料Feex

Mode-Based Execute Control 是 Intel EPT 的一項功能，允許 Hypervisor 區分客體使用者模式與管理員模式的指令執行權限。它是一項虛擬化控制功能，而非普通的應用程式指令。

您需要瞭解的資訊

Mode-Based Execute Control 是 Intel EPT 的一項功能，允許 Hypervisor 區分客體使用者模式與管理員模式的指令執行權限。它是一項虛擬化控制功能，而非普通的應用程式指令。

運作方式

在啟用相關的 VM 執行控制項後，EPT 權限語意可區分客體執行模式。這讓 Hypervisor 能夠在第二階段轉譯時實施對使用者與核心執行進行不同處理的政策。Hypervisor 必須正確列舉並設定這些控制項。

適用場景

基於虛擬化的保護設計可將差異化執行權限用作建構基礎之一。客體作業系統與主機政策仍會決定保護的內容以及錯誤的處理方式；光靠此功能本身並無法啟用安全產品。

如何檢查支援與啟用狀態

請檢查 SDM 中記載的 VMX 功能控制項，以及 Hypervisor 支援的功能/狀態介面。請分別檢查 EPT 與平台組態。一般應用程式的 CPUID 功能清單無法完整描述作用中的 Hypervisor 政策。

虛擬化部署包含多個層級：實體功能、韌體權限、作用中的主機 Hypervisor、公開的客體功能以及客體 OS 支援。請檢查實際執行作業的層級，包括相關的嵌套虛擬化。

該功能未涵蓋的範疇

此功能與 NX 或 SMEP 不同，且引入的通用標籤並不能確立 AMD 等效功能的確切行為。它不能證明基於虛擬化的安全性已啟用，也不能證明機器符合特定作業系統功能的所有需求。

實務中的相容性與效能

CPU 執行、客體記憶體轉譯和裝置 DMA 重新對應是各自獨立的功能。不要從單一虛擬化欄位推斷直通或隔離能力。請使用 Hypervisor 的受支援診斷工具以及確切的平台/裝置需求。

實用驗證檢查清單

  1. 記錄所涉及的確切處理器或平台型號，以及應用程式、OS 和執行階段版本。保留實際錯誤或需求的確切措辭。
  2. 檢查該確切型號的原廠參考資料，然後在程式執行的環境中檢查有效功能和啟用狀態。
  3. 比對所選二進位檔或後端的所有需求。僅憑名稱相似的功能、別名或廣泛的技術標籤是不夠的。
  4. 確認應用程式已選擇預期的實作方式。當需求未獲滿足時，請使用其記載的診斷工具和受支援的後備機制。
  5. 一次進行一項受支援的變更，並重複執行相同的負載。隨時保留原始設定和復原途徑。

如果列出該功能但軟體無法使用

從確切發生失敗的元件著手。硬體資料庫描述的是記錄的硬體能力；作業系統或 Hypervisor 可能呈現不同的有效環境。非法指令錯誤同樣需要調查實際出錯的指令和二進位建置版本，因為損毀或無關的不受支援指令也可能產生類似的症狀。

安裝適用於該確切平台的受支援應用程式、驅動程式或執行階段版本，並在需要時使用廠商記載的基準建置版本或後備建置版本。軟體更新無法無中生有地創造處理器所缺乏的指令。韌體與安全性原則的變更應遵循系統製造商的程序和復原計劃，而非泛用的最佳化偏方。

本說明的來源與範圍

Intel 64 和 IA-32 架構軟體開發者手冊

這些參考資料確立了架構行為和軟體需求。它們不會獨立驗證連結硬體型號頁面上的每個功能數值。有關型號支援，請使用該頁面的製造商實證並檢查有效系統組態。本文不提供效能基準測試、認證或獨立審查日期。

來源與驗證

編輯權限：Feex。未記錄獨立審查日期。 我們的研究方式.

這篇文章實用嗎？

只要回答「是」或「否」即可。您也可以依意願選擇原因，或附上簡短說明。

這篇文章實用嗎？