Elastic Compute Service:TDX 機密コンピューティング環境の構築とリモートアテステーションの検証

ステップ 1：TDX の有効化確認

次に進む前に、インスタンスで TDX が有効になっていることを確認してください。

1. TDX が有効になっているかどうかを確認します。

   lscpu |grep -i tdx_guest

   出力に tdx_guest が含まれている場合、TDX は有効です。

   [root@iZwzxxxxxxxx:~]# lscpu |grep -i tdx_guest
   Flags:           fpu vme de pse tsc msr pae mce cx8 apic sep mtrr pge mca cmov pat pse36 clflush dts mmx fxsr sse sse2 ss ht syscall nx pdpe1gb rdtscp lm constant_tsc bts rep_good nopl xtopology tsc_known_freq pni pclmulqdq dtes64 ds_cpl ssse3 sdbg fma cx16 pdcm pcid sse4_1 sse4_2 x2apic movbe popcnt tsc_deadline_timer aes xsave avx f16c rdrand hypervisor lahf_lm abm 3dnowprefetch cpuid_fault invpcid_single sbd ibrs ibpb stibp ibrs_enhanced tdx_guest fsgsbase bmi1 hle avx2 smep bmi2 erms invpcid rtm avx512f avx512dq rdseed adx smap avx512ifma clflushopts clwb avx512cd sha_ni avx512bw avx512vl xsaveopt xsavec xgetbv1 xsaves avx_vnni avx512_bf16 wbnoinvd avx512vbmi umip pku ospke avx512_vbmi2 gfni vaes vpclmulqdq avx512_vnni avx512_bitalg avx512_vpopcntdq rdpid bus_lock_detect cldemote movdiri movdir64b _vp2intersect md_clear serialize tsxldtrk amx_bf16 avx512_fp16 amx_tile amx_int8 flush_l1d arch_capabilities

2. 利用可能なアテステーションレポートインターフェイスを確認します。

   カーネルは、TDX アテステーションレポート (TD Report と Quote) をユーザーモードに公開します。インターフェイスはカーネルバージョンによって異なります。イメージのカーネルバージョンに合った確認コマンドを選択してください。いずれかのコマンドで確認できれば十分です。

   インターフェイス	適用可能なイメージとカーネル	確認コマンド
   ConfigFS TSM /sys/kernel/config/tsm/report	Alibaba Cloud Linux 4、Ubuntu 24.04、Debian 13.1、Rocky 9.5 以降 (アップストリームカーネル 6.7 以降)	ls -d /sys/kernel/config/tsm/report
   キャラクタデバイス /dev/tdx_guest	Alibaba Cloud Linux 3 (kernel 5.10.134-16.al8 or later)	ls -l /dev/tdx_guest

ステップ 2：TDX 機密コンピューティング機能の使用

TDX は、ユーザーモードに 4 つのアトミックな機能を提供します。これらは、ローカル測定からリモート検証までの完全なチェーンを形成します。

OpenAnolis コミュニティは、go-tdx-guest で tdx-lab コマンドラインツールを提供しています。そのテストケースは、上記の 4 つの機能に対応しています。以降の手順では、それらのテストケースの実行方法を説明します。

1. ツールを取得し、ビルドします。

   sudo yum install -y git golang
   git clone https://gitee.com/anolis/go-tdx-guest.git
   cd go-tdx-guest/tools/tdx-lab
   GOPROXY='https://goproxy.cn,direct' go build -o tdx-lab .

   説明

   Debian および Ubuntu イメージの場合は、代わりに sudo apt install -y git golang-go を実行します。

2. インスタンスが存在するリージョンの Alibaba Cloud PCCS アドレスを取得します。

   token=$(curl -s -X PUT -H "X-aliyun-ecs-metadata-token-ttl-seconds: 5" "http://100.100.100.200/latest/api/token")
   region_id=$(curl -s -H "X-aliyun-ecs-metadata-token: $token" http://100.100.100.200/latest/meta-data/region-id)
   PCCS_HOST=sgx-dcap-server-vpc.${region_id}.aliyuncs.com

3. テストケースを実行します。

   # すべてのテストケースを実行
   ./tdx-lab --skip-early --pccs-url ${PCCS_HOST}

   説明

   TCB ステータスが UpToDate であることは保証されていないため、一部のシナリオで Strict Tcb Check が失敗することが想定されています。完全なパラメーターリストと各テストケースの説明については、「tools/tdx-lab/README.md」をご参照ください。

リージョンとインスタンスタイプの制限

機密コンピューティングは、特定のゾーンでのみ利用可能です。サポートされているインスタンスタイプは、ゾーンによって異なります。

イメージ

• Debian 13.1 以降: Debian 13.1、Debian 13.2、Debian 13.3。

• Rocky 9.5 以降: Rocky 9.5、Rocky 9.6、Rocky 9.7、Rocky 10.0、Rocky 10.1。

• Ubuntu 24.04 以降: Ubuntu 24.04。

• Alibaba Cloud Linux 3 以降: Alibaba Cloud Linux 3、Alibaba Cloud Linux 4。