云原生机密计算最佳实践白皮书.pptx

;;;认识龙蜥

龙蜥社区（OpenAnolis）成立于2020年9月，由阿里云、ARM、统信软件、龙芯、飞腾、中科方德、Intel等24家国内外头部企业共同成立龙蜥社区理事会，到目前有超过300家合作伙伴参与共建，是是国内领先的开源社区之一，具备较为领先的产业和技术影响力。目前，龙蜥操作系统下载量已超240万，整体装机量达300多万，100余款企业产品完成与龙蜥操作系统的适配。同时，统信软件、中科方德、中国移动云、麒麟软件

、中标软件、凝思软件、浪潮信息、新支点、阿里云基于龙蜥开源操作系统推出各自商业版本及产品，在政务

、金融、交通、通信等领域累计服务用户超过30万。;;同厂商的CPUTEE虽各自具有自身的特点，但都无法解决异构计算算力不足的问题，限制了机密计算的应用领域。4、信任根和信任模型问题。在信创、数据安全和安全合规等政策性要求对CPUTEE的信任根存在自主可控的

诉求；与此同时，虽然有部分用户愿意信任云厂商和第三方提供的解决方案，但多数用户对云厂商和第三方不完全信任，要求将机密计算技术方案从租户TCB中完全移除。

总之，目前已有的机密计算技术方案存在以上困境，不能够完全满足用户不同场景的安全需求。为了解决以上四个问题，云原生机密计算SIG应运而生，主要可概括为四点：

1、推广机密计算技术。

邀请参与方在龙蜥大讲堂介绍和推广机密计算技术与解决方案。

与芯片厂商合作，未来可以通过龙蜥实验室让外部用户体验机密计算技术，对机密计算有一个更深入化的了

解。

2、提高机密计算技术的可用性。

支持多种机密计算硬件。

提供多种运行时底座和编程框架供用户选择。

3、提升机密计算技术的泛用性

为最有代表性的通用计算场景打造解决方案和案例（特性即产品）。

积极拥抱并参与到机密计算前沿技术领域的探索与实践，加速创新技术的落地。

4、澄清误会并增加用户信心

发布机密计算技术白皮书。

与社区和业界合作，未来提供结合了软件供应链安全的远程证明服务体系。;云原生机密计算SIG概述;提供TEE有关的Kubernetes基础服务(如集群规模的密钥分发和同步服务、集群远程证明服务等），???得用户可以方便地将集群中多台TEE机器当作一个更强大的TEE来使用。

代码库：/SOFAEnclave/KubeTEE

ApacheTeaclaveJavaTEESDK

ApacheTeaclaveJavaTEESDK(JavaEnclave)是一个面向Java生态的机密计算编程框架，它继承IntelSGXSDK所定义的Host-Enclave机密计算分割编程模型。JavaEnclave提供一种十分优雅的模式，对一个完整的Java应用程序进行分割与组织。它将一个Java项目划分成三个子模块，Common子模块定义SPI服务接口，Enclave子模块实现SPI接口并以Provider方式提供服务，Host子模块负责TEE环境的管理和Enclave机密服务的调用。整个机密计算应用的开发与使用模式符合Java经典的SPI设计模式，极大降低了Java机密计算开发门槛。此外，本框架创新性应用Java静态编译技术，将Enclave子模块Java代码编译成Native形态并运行在TEE环境，极大减小了Enclave攻击面，杜绝了Enclave发生注入攻击的风险，实现了极致安全的Java机密计算运行环境。

主页:

代码库:/apache/incubator-teaclave-java-tee-sdk

Gramine

Gramine是一个轻量级的LibOS，旨在以最小的主机要求运行单个应用程序。Gramine可以在一个隔离的环境中运行应用程序。其优点是可定制，易移植，方便迁移，可以媲美虚拟机。在架构上Gramine可以在任何平台上支持运行未修改的Linux二进制文件。目前，Gramine可以在Linux和IntelSGXenclave环境中工作。

主页：https://gramine.readthedocs.io/

代码库：/gramineproject/gramine

TDX机密容器机密虚拟机

IntelTrustDomainExtension(TDX)基于虚拟化扩展机密计算的隔离能力，通过构建机密虚拟机，为业务负载提供了虚拟机级别的机密计算的运行环境。通过Linux社区对TDX机密虚拟机的生态支持,基于Linux的业务应用可以方便的迁移到机密计算环境中。此外，IntelTDXPod级机密容器将TDX机密虚拟机技术同容器生态无缝集成，以云原生方式运行，保护敏感工作负载和数据的机密性和完整性。在机密虚拟机内部，默认集成了im