Elastic Compute Service:Membangun lingkungan komputasi rahasia TDX dan memverifikasi attestation jarak jauh

Langkah 1: Verifikasi bahwa TDX diaktifkan

Verifikasi bahwa TDX diaktifkan pada instans Anda sebelum melanjutkan.

1. Periksa apakah TDX diaktifkan.

   lscpu |grep -i tdx_guest

   Jika output berisi tdx_guest, berarti TDX telah diaktifkan.

   [root@iZwzxxxxxxxx:~]# lscpu |grep -i tdx_guest
   Flags:           fpu vme de pse tsc msr pae mce cx8 apic sep mtrr pge mca cmov pat pse36 clflush dts mmx fxsr sse sse2 ss ht syscall nx pdpe1gb rdtscp lm constant_tsc bts rep_good nopl xtopology tsc_known_freq pni pclmulqdq dtes64 ds_cpl ssse3 sdbg fma cx16 pdcm pcid sse4_1 sse4_2 x2apic movbe popcnt tsc_deadline_timer aes xsave avx f16c rdrand hypervisor lahf_lm abm 3dnowprefetch cpuid_fault invpcid_single sbd ibrs ibpb stibp ibrs_enhanced tdx_guest fsgsbase bmi1 hle avx2 smep bmi2 erms invpcid rtm avx512f avx512dq rdseed adx smap avx512ifma clflushopts clwb avx512cd sha_ni avx512bw avx512vl xsaveopt xsavec xgetbv1 xsaves avx_vnni avx512_bf16 wbnoinvd avx512vbmi umip pku ospke avx512_vbmi2 gfni vaes vpclmulqdq avx512_vnni avx512_bitalg avx512_vpopcntdq rdpid bus_lock_detect cldemote movdiri movdir64b _vp2intersect md_clear serialize tsxldtrk amx_bf16 avx512_fp16 amx_tile amx_int8 flush_l1d arch_capabilities

2. Periksa antarmuka laporan attestation yang tersedia.

   Kernel mengekspos laporan attestation TDX (TD Report dan Quote) ke mode pengguna, dan antarmukanya berbeda tergantung versi kernel. Pilih perintah pemeriksaan yang sesuai dengan versi kernel image tersebut. Lulus salah satu pemeriksaan sudah cukup.

   Antarmuka	Image dan kernel yang berlaku	Perintah pemeriksaan
   ConfigFS TSM /sys/kernel/config/tsm/report	Alibaba Cloud Linux 4, Ubuntu 24.04, Debian 13, dan Rocky 9.5 atau lebih baru (kernel upstream 6.7 atau lebih baru)	ls -d /sys/kernel/config/tsm/report
   Character device /dev/tdx_guest	Alibaba Cloud Linux 3 (kernel 5.10.134-16.al8 atau lebih baru)	ls -l /dev/tdx_guest

Langkah 2: Gunakan kemampuan komputasi rahasia TDX

TDX menyediakan empat kemampuan atomik ke mode pengguna, yang bersama-sama membentuk rantai lengkap dari pengukuran lokal hingga verifikasi jarak jauh.

Komunitas OpenAnolis menyediakan tool baris perintah tdx-lab dalam go-tdx-guest. Kasus ujinya mencakup keempat kemampuan yang dijelaskan di atas. Langkah-langkah berikut menunjukkan cara menjalankan kasus uji tersebut.

1. Dapatkan dan bangun tool tersebut.

   sudo yum install -y git golang
   git clone https://gitee.com/anolis/go-tdx-guest.git
   cd go-tdx-guest/tools/tdx-lab
   GOPROXY='https://goproxy.cn,direct' go build -o tdx-lab .

   Catatan

   Untuk image Debian dan Ubuntu, jalankan sudo apt install -y git golang-go sebagai gantinya.

2. Dapatkan alamat PCCS Alibaba Cloud dari wilayah tempat instans berada.

   token=$(curl -s -X PUT -H "X-aliyun-ecs-metadata-token-ttl-seconds: 5" "http://100.100.100.200/latest/api/token")
   region_id=$(curl -s -H "X-aliyun-ecs-metadata-token: $token" http://100.100.100.200/latest/meta-data/region-id)
   PCCS_HOST=sgx-dcap-server-vpc.${region_id}.aliyuncs.com

3. Jalankan kasus uji.

   # Jalankan semua kasus uji
   ./tdx-lab --skip-early --pccs-url ${PCCS_HOST}

   Catatan

   Status TCB tidak dijamin UpToDate, sehingga kegagalan Strict Tcb Check dalam beberapa skenario merupakan hal yang diharapkan. Untuk daftar parameter lengkap dan deskripsi setiap kasus uji, lihat tools/tdx-lab/README.md.

Batasan wilayah dan tipe instans

Komputasi rahasia hanya tersedia di zona tertentu. Tipe instans yang didukung bervariasi tergantung zona.

Gambar

• Debian 13.1 atau lebih baru: Debian 13.1, Debian 13.2, Debian 13.3.

• Rocky 9.5 atau lebih baru: Rocky 9.5, Rocky 9.6, Rocky 9.7, Rocky 10.0, Rocky 10.1.

• Ubuntu 24.04 atau lebih baru: Ubuntu 24.04.

• Alibaba Cloud Linux 3 atau lebih baru: Alibaba Cloud Linux 3, Alibaba Cloud Linux 4.