Wsphinx.addnodesdocument)}( rawsourcechildren]( translations LanguagesNode)}(hhh](h pending_xref)}(hhh]docutils.nodesTextEnglish}parenthsba attributes}(ids]classes]names]dupnames]backrefs] refdomainstdreftypedoc reftarget/security/tpm/xen-tpmfrontmodnameN classnameN refexplicitutagnamehhh ubh)}(hhh]hChinese (Traditional)}hh2sbah}(h]h ]h"]h$]h&] refdomainh)reftypeh+ reftarget-/translations/zh_TW/security/tpm/xen-tpmfrontmodnameN classnameN refexplicituh1hhh ubh)}(hhh]hItalian}hhFsbah}(h]h ]h"]h$]h&] refdomainh)reftypeh+ reftarget-/translations/it_IT/security/tpm/xen-tpmfrontmodnameN classnameN refexplicituh1hhh ubh)}(hhh]hJapanese}hhZsbah}(h]h ]h"]h$]h&] refdomainh)reftypeh+ reftarget-/translations/ja_JP/security/tpm/xen-tpmfrontmodnameN classnameN refexplicituh1hhh ubh)}(hhh]hKorean}hhnsbah}(h]h ]h"]h$]h&] refdomainh)reftypeh+ reftarget-/translations/ko_KR/security/tpm/xen-tpmfrontmodnameN classnameN refexplicituh1hhh ubh)}(hhh]hSpanish}hhsbah}(h]h ]h"]h$]h&] refdomainh)reftypeh+ reftarget-/translations/sp_SP/security/tpm/xen-tpmfrontmodnameN classnameN refexplicituh1hhh ubeh}(h]h ]h"]h$]h&]current_languageChinese (Simplified)uh1h hh _documenthsourceNlineNubhcomment)}(h SPDX-License-Identifier: GPL-2.0h]h SPDX-License-Identifier: GPL-2.0}hhsbah}(h]h ]h"]h$]h&] xml:spacepreserveuh1hhhhhhZ/var/lib/git/docbuild/linux/Documentation/translations/zh_CN/security/tpm/xen-tpmfront.rsthKubhnote)}(hX{此文件的目的是为让中文读者更容易阅读和理解，而不是作为一个分支。 因此， 如果您对此文件有任何意见或更新，请先尝试更新原始英文文件。 如果您发现本文档与原始文件有任何不同或者有翻译问题，请发建议或者补丁给 该文件的译者，或者请求中文文档维护者和审阅者的帮助。h]h paragraph)}(hX{此文件的目的是为让中文读者更容易阅读和理解，而不是作为一个分支。 因此， 如果您对此文件有任何意见或更新，请先尝试更新原始英文文件。 如果您发现本文档与原始文件有任何不同或者有翻译问题，请发建议或者补丁给 该文件的译者，或者请求中文文档维护者和审阅者的帮助。h]hX{此文件的目的是为让中文读者更容易阅读和理解，而不是作为一个分支。 因此， 如果您对此文件有任何意见或更新，请先尝试更新原始英文文件。 如果您发现本文档与原始文件有任何不同或者有翻译问题，请发建议或者补丁给 该文件的译者，或者请求中文文档维护者和审阅者的帮助。}(hhhhhNhNubah}(h]h ]h"]h$]h&]uh1hh5Documentation/translations/zh_CN/disclaimer-zh_CN.rsthKhhubah}(h]h ]h"]h$]h&]uh1hhhhhhhhNubh field_list)}(hhh](hfield)}(hhh](h field_name)}(hOriginalh]hOriginal}(hhhhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhhhKubh field_body)}(h,Documentation/security/tpm/xen-tpmfront.rst h]h)}(h+Documentation/security/tpm/xen-tpmfront.rsth]h+Documentation/security/tpm/xen-tpmfront.rst}(hhhhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhKhhubah}(h]h ]h"]h$]h&]uh1hhhubeh}(h]h ]h"]h$]h&]uh1hhhhKhhhhubh)}(hhh](h)}(h翻译h]h翻译}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1hhj hhhKubh)}(h.赵硕 Shuo Zhao h]h)}(h-赵硕 Shuo Zhao h](h赵硕 Shuo Zhao <}(hj hhhNhNubh reference)}(hzhaoshuo@cqsoftware.com.cnh]hzhaoshuo@cqsoftware.com.cn}(hj*hhhNhNubah}(h]h ]h"]h$]h&]refuri!mailto:zhaoshuo@cqsoftware.com.cnuh1j(hj ubh>}(hj hhhNhNubeh}(h]h ]h"]h$]h&]uh1hhhhKhjubah}(h]h ]h"]h$]h&]uh1hhj ubeh}(h]h ]h"]h$]h&]uh1hhhhKhhhhubeh}(h]h ]h"]h$]h&]uh1hhhhhhhhKubhsection)}(hhh](htitle)}(hXen的虚拟TPM接口h]hXen的虚拟TPM接口}(hj]hhhNhNubah}(h]h ]h"]h$]h&]uh1j[hjXhhhhhK ubh)}(h;作者：Matthew Fioravante (JHUAPL), Daniel De Graaf (NSA)h]h;作者：Matthew Fioravante (JHUAPL), Daniel De Graaf (NSA)}(hjkhhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhK hjXhhubh)}(h本文档描述了用于Xen的虚拟可信平台模块（vTPM）子系统。假定读者熟悉 Xen和Linux的构建和安装，并对TPM和vTPM概念有基本的理解。h]h本文档描述了用于Xen的虚拟可信平台模块（vTPM）子系统。假定读者熟悉 Xen和Linux的构建和安装，并对TPM和vTPM概念有基本的理解。}(hjyhhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhKhjXhhubjW)}(hhh](j\)}(h介绍h]h介绍}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1j[hjhhhhhKubh)}(hX这项工作的目标是为虚拟客户操作系统（在Xen中称为DomU）提供TPM功能。这使得 程序能够像与物理系统上的TPM交互一样，与虚拟系统中的TPM进行交互。每个客户 操作系统都会获得一个唯一的、模拟的软件TPM。然而，vTPM的所有秘密（如密钥、 NVRAM 等）由vTPM管理域进行管理，该域将这些秘密封存到物理TPM中。如果创建这 些域（管理域、vTPM域和客户域）的过程是可信的，vTPM子系统就能将根植于硬件 TPM的信任链扩展到Xen中的虚拟机。vTPM的每个主要组件都作为一个独立的域实现， 从而通过虚拟机监控程序（hypervisor）提供安全隔离。h]hX这项工作的目标是为虚拟客户操作系统（在Xen中称为DomU）提供TPM功能。这使得 程序能够像与物理系统上的TPM交互一样，与虚拟系统中的TPM进行交互。每个客户 操作系统都会获得一个唯一的、模拟的软件TPM。然而，vTPM的所有秘密（如密钥、 NVRAM 等）由vTPM管理域进行管理，该域将这些秘密封存到物理TPM中。如果创建这 些域（管理域、vTPM域和客户域）的过程是可信的，vTPM子系统就能将根植于硬件 TPM的信任链扩展到Xen中的虚拟机。vTPM的每个主要组件都作为一个独立的域实现， 从而通过虚拟机监控程序（hypervisor）提供安全隔离。}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhKhjhhubh)}(h[这个mini-os vTPM 子系统是建立在IBM和Intel公司之前的vTPM工作基础上的。h]h[这个mini-os vTPM 子系统是建立在IBM和Intel公司之前的vTPM工作基础上的。}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhKhjhhubeh}(h]id1ah ]h"]介绍ah$]h&]uh1jVhjXhhhhhKubjW)}(hhh](j\)}(h 设计概述h]h 设计概述}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1j[hjhhhhhK!ubh)}(hvTPM的架构描述如下::h]hvTPM的架构描述如下:}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhK#hjhhubh literal_block)}(hX+------------------+ | Linux DomU | ... | | ^ | | v | | | xen-tpmfront | +------------------+ | ^ v | +------------------+ | mini-os/tpmback | | | ^ | | v | | | vtpm-stubdom | ... | | ^ | | v | | | mini-os/tpmfront | +------------------+ | ^ v | +------------------+ | mini-os/tpmback | | | ^ | | v | | | vtpmmgr-stubdom | | | ^ | | v | | | mini-os/tpm_tis | +------------------+ | ^ v | +------------------+ | Hardware TPM | +------------------+h]hX+------------------+ | Linux DomU | ... | | ^ | | v | | | xen-tpmfront | +------------------+ | ^ v | +------------------+ | mini-os/tpmback | | | ^ | | v | | | vtpm-stubdom | ... | | ^ | | v | | | mini-os/tpmfront | +------------------+ | ^ v | +------------------+ | mini-os/tpmback | | | ^ | | v | | | vtpmmgr-stubdom | | | ^ | | v | | | mini-os/tpm_tis | +------------------+ | ^ v | +------------------+ | Hardware TPM | +------------------+}hjsbah}(h]h ]h"]h$]h&]hhuh1jhhhK%hjhhubh bullet_list)}(hhh](h list_item)}(hhLinux DomU: 希望使用vTPM的基于Linux的客户机。可能有多个这样的实例。 h]hdefinition_list)}(hhh]hdefinition_list_item)}(h[Linux DomU: 希望使用vTPM的基于Linux的客户机。可能有多个这样的实例。 h](hterm)}(h Linux DomU:h]h Linux DomU:}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1jhhhKHhjubh definition)}(hhh]h)}(hN希望使用vTPM的基于Linux的客户机。可能有多个这样的实例。h]hN希望使用vTPM的基于Linux的客户机。可能有多个这样的实例。}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhKHhjubah}(h]h ]h"]h$]h&]uh1jhjubeh}(h]h ]h"]h$]h&]uh1jhhhKHhjubah}(h]h ]h"]h$]h&]uh1jhjubah}(h]h ]h"]h$]h&]uh1jhjhhhNhNubj)}(hxen-tpmfront.ko: Linux内核虚拟TPM前端驱动程序。该驱动程序为基于Linux的DomU提供 vTPM访问。 h]j)}(hhh]j)}(hsxen-tpmfront.ko: Linux内核虚拟TPM前端驱动程序。该驱动程序为基于Linux的DomU提供 vTPM访问。 h](j)}(hxen-tpmfront.ko:h]hxen-tpmfront.ko:}(hjGhhhNhNubah}(h]h ]h"]h$]h&]uh1jhhhKLhjCubj)}(hhh]h)}(haLinux内核虚拟TPM前端驱动程序。该驱动程序为基于Linux的DomU提供 vTPM访问。h]haLinux内核虚拟TPM前端驱动程序。该驱动程序为基于Linux的DomU提供 vTPM访问。}(hjXhhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhKKhjUubah}(h]h ]h"]h$]h&]uh1jhjCubeh}(h]h ]h"]h$]h&]uh1jhhhKLhj@ubah}(h]h ]h"]h$]h&]uh1jhj<ubah}(h]h ]h"]h$]h&]uh1jhjhhhNhNubj)}(hX mini-os/tpmback: Mini-os TPM后端驱动程序。Linux前端驱动程序通过该后端驱动程序连 接，以便在Linux DomU和其vTPM之间进行通信。该驱动程序还被 vtpmmgr-stubdom用于与vtpm-stubdom通信。 h]j)}(hhh]j)}(hmini-os/tpmback: Mini-os TPM后端驱动程序。Linux前端驱动程序通过该后端驱动程序连 接，以便在Linux DomU和其vTPM之间进行通信。该驱动程序还被 vtpmmgr-stubdom用于与vtpm-stubdom通信。 h](j)}(hmini-os/tpmback:h]hmini-os/tpmback:}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1jhhhKQhjubj)}(hhh]h)}(hMini-os TPM后端驱动程序。Linux前端驱动程序通过该后端驱动程序连 接，以便在Linux DomU和其vTPM之间进行通信。该驱动程序还被 vtpmmgr-stubdom用于与vtpm-stubdom通信。h]hMini-os TPM后端驱动程序。Linux前端驱动程序通过该后端驱动程序连 接，以便在Linux DomU和其vTPM之间进行通信。该驱动程序还被 vtpmmgr-stubdom用于与vtpm-stubdom通信。}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhKOhjubah}(h]h ]h"]h$]h&]uh1jhjubeh}(h]h ]h"]h$]h&]uh1jhhhKQhjubah}(h]h ]h"]h$]h&]uh1jhj~ubah}(h]h ]h"]h$]h&]uh1jhjhhhNhNubj)}(hvtpm-stubdom: 一个实现vTPM的mini-os存根域。每个正在运行的vtpm-stubdom实例与系统 上的逻辑vTPM之间有一一对应的关系。vTPM平台配置寄存器（PCRs）通常都 初始化为零。 h]j)}(hhh]j)}(hvtpm-stubdom: 一个实现vTPM的mini-os存根域。每个正在运行的vtpm-stubdom实例与系统 上的逻辑vTPM之间有一一对应的关系。vTPM平台配置寄存器（PCRs）通常都 初始化为零。 h](j)}(h vtpm-stubdom:h]h vtpm-stubdom:}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1jhhhKVhjubj)}(hhh]h)}(h一个实现vTPM的mini-os存根域。每个正在运行的vtpm-stubdom实例与系统 上的逻辑vTPM之间有一一对应的关系。vTPM平台配置寄存器（PCRs）通常都 初始化为零。h]h一个实现vTPM的mini-os存根域。每个正在运行的vtpm-stubdom实例与系统 上的逻辑vTPM之间有一一对应的关系。vTPM平台配置寄存器（PCRs）通常都 初始化为零。}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhKThjubah}(h]h ]h"]h$]h&]uh1jhjubeh}(h]h ]h"]h$]h&]uh1jhhhKVhjubah}(h]h ]h"]h$]h&]uh1jhjubah}(h]h ]h"]h$]h&]uh1jhjhhhNhNubj)}(hmini-os/tpmfront: Mini-os TPM前端驱动程序。vTPM mini-os域vtpm-stubdom使用该驱动程序 与vtpmmgr-stubdom通信。此驱动程序还用于与vTPM域通信的mini-os域，例 如 pv-grub。 h]j)}(hhh]j)}(hmini-os/tpmfront: Mini-os TPM前端驱动程序。vTPM mini-os域vtpm-stubdom使用该驱动程序 与vtpmmgr-stubdom通信。此驱动程序还用于与vTPM域通信的mini-os域，例 如 pv-grub。 h](j)}(hmini-os/tpmfront:h]hmini-os/tpmfront:}(hj hhhNhNubah}(h]h ]h"]h$]h&]uh1jhhhK[hj ubj)}(hhh]h)}(hMini-os TPM前端驱动程序。vTPM mini-os域vtpm-stubdom使用该驱动程序 与vtpmmgr-stubdom通信。此驱动程序还用于与vTPM域通信的mini-os域，例 如 pv-grub。h]hMini-os TPM前端驱动程序。vTPM mini-os域vtpm-stubdom使用该驱动程序 与vtpmmgr-stubdom通信。此驱动程序还用于与vTPM域通信的mini-os域，例 如 pv-grub。}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhKYhjubah}(h]h ]h"]h$]h&]uh1jhj ubeh}(h]h ]h"]h$]h&]uh1jhhhK[hjubah}(h]h ]h"]h$]h&]uh1jhjubah}(h]h ]h"]h$]h&]uh1jhjhhhNhNubj)}(hXvtpmmgr-stubdom: 一个实现vTPM管理器的mini-os域。系统中只有一个vTPM管理器，并且在整个 机器生命周期内应一直运行。此域调节对系统中物理TPM的访问，并确保每个 vTPM的持久状态。 h]j)}(hhh]j)}(hvtpmmgr-stubdom: 一个实现vTPM管理器的mini-os域。系统中只有一个vTPM管理器，并且在整个 机器生命周期内应一直运行。此域调节对系统中物理TPM的访问，并确保每个 vTPM的持久状态。 h](j)}(hvtpmmgr-stubdom:h]hvtpmmgr-stubdom:}(hjOhhhNhNubah}(h]h ]h"]h$]h&]uh1jhhhK`hjKubj)}(hhh]h)}(h一个实现vTPM管理器的mini-os域。系统中只有一个vTPM管理器，并且在整个 机器生命周期内应一直运行。此域调节对系统中物理TPM的访问，并确保每个 vTPM的持久状态。h]h一个实现vTPM管理器的mini-os域。系统中只有一个vTPM管理器，并且在整个 机器生命周期内应一直运行。此域调节对系统中物理TPM的访问，并确保每个 vTPM的持久状态。}(hj`hhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhK^hj]ubah}(h]h ]h"]h$]h&]uh1jhjKubeh}(h]h ]h"]h$]h&]uh1jhhhK`hjHubah}(h]h ]h"]h$]h&]uh1jhjDubah}(h]h ]h"]h$]h&]uh1jhjhhhNhNubj)}(hmini-os/tpm_tis: Mini-osTPM1.2版本TPM 接口规范（TIS）驱动程序。该驱动程序由vtpmmgr-stubdom 用于直接与硬件TPM通信。通信通过将硬件内存页映射到vtpmmgr-stubdom来实现。 h]j)}(hhh]j)}(hmini-os/tpm_tis: Mini-osTPM1.2版本TPM 接口规范（TIS）驱动程序。该驱动程序由vtpmmgr-stubdom 用于直接与硬件TPM通信。通信通过将硬件内存页映射到vtpmmgr-stubdom来实现。 h](j)}(hmini-os/tpm_tis:h]hmini-os/tpm_tis:}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1jhhhKdhjubj)}(hhh]h)}(hMini-osTPM1.2版本TPM 接口规范（TIS）驱动程序。该驱动程序由vtpmmgr-stubdom 用于直接与硬件TPM通信。通信通过将硬件内存页映射到vtpmmgr-stubdom来实现。h]hMini-osTPM1.2版本TPM 接口规范（TIS）驱动程序。该驱动程序由vtpmmgr-stubdom 用于直接与硬件TPM通信。通信通过将硬件内存页映射到vtpmmgr-stubdom来实现。}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhKchjubah}(h]h ]h"]h$]h&]uh1jhjubeh}(h]h ]h"]h$]h&]uh1jhhhKdhjubah}(h]h ]h"]h$]h&]uh1jhjubah}(h]h ]h"]h$]h&]uh1jhjhhhNhNubj)}(h;硬件TPM: 固定在主板上的物理 TPM。 h]j)}(hhh]j)}(h.硬件TPM: 固定在主板上的物理 TPM。 h](j)}(h 硬件TPM:h]h 硬件TPM:}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1jhhhKghjubj)}(hhh]h)}(h"固定在主板上的物理 TPM。h]h"固定在主板上的物理 TPM。}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhKghjubah}(h]h ]h"]h$]h&]uh1jhjubeh}(h]h ]h"]h$]h&]uh1jhhhKghjubah}(h]h ]h"]h$]h&]uh1jhjubah}(h]h ]h"]h$]h&]uh1jhjhhhNhNubeh}(h]h ]h"]h$]h&]bullet*uh1jhhhKGhjhhubeh}(h]id2ah ]h"] 设计概述ah$]h&]uh1jVhjXhhhhhK!ubjW)}(hhh](j\)}(h与Xen的集成h]h与Xen的集成}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1j[hjhhhhhKjubh)}(hXvTPM驱动程序的支持已在Xen4.3中通过libxl工具堆栈添加。有关设置vTPM和vTPM 管理器存根域的详细信息，请参见Xen文档（docs/misc/vtpm.txt）。一旦存根域 运行，与磁盘或网络设备相同，vTPM设备将在域的配置文件中进行设置h]hXvTPM驱动程序的支持已在Xen4.3中通过libxl工具堆栈添加。有关设置vTPM和vTPM 管理器存根域的详细信息，请参见Xen文档（docs/misc/vtpm.txt）。一旦存根域 运行，与磁盘或网络设备相同，vTPM设备将在域的配置文件中进行设置}(hj+hhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhKlhjhhubh)}(h为了使用诸如IMA（完整性测量架构）等需要在initrd之前加载TPM的功能，必须将 xen-tpmfront驱动程序编译到内核中。如果不使用这些功能，驱动程序可以作为 模块编译，并像往常一样加载。h]h为了使用诸如IMA（完整性测量架构）等需要在initrd之前加载TPM的功能，必须将 xen-tpmfront驱动程序编译到内核中。如果不使用这些功能，驱动程序可以作为 模块编译，并像往常一样加载。}(hj9hhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhKphjhhubeh}(h]xenah ]h"]与xen的集成ah$]h&]uh1jVhjXhhhhhKjubeh}(h]xentpmah ]h"]xen的虚拟tpm接口ah$]h&]uh1jVhhhhhhhK ubeh}(h]h ]h"]h$]h&]sourcehuh1hcurrent_sourceN current_lineNsettingsdocutils.frontendValues)}(j[N generatorN datestampN source_linkN source_urlN toc_backlinksentryfootnote_backlinksK sectnum_xformKstrip_commentsNstrip_elements_with_classesN strip_classesN report_levelK halt_levelKexit_status_levelKdebugNwarning_streamN tracebackinput_encoding utf-8-siginput_encoding_error_handlerstrictoutput_encodingutf-8output_encoding_error_handlerjzerror_encodingutf-8error_encoding_error_handlerbackslashreplace language_codeenrecord_dependenciesNconfigN id_prefixhauto_id_prefixid dump_settingsNdump_internalsNdump_transformsNdump_pseudo_xmlNexpose_internalsNstrict_visitorN_disable_configN_sourceh _destinationN _config_files]7/var/lib/git/docbuild/linux/Documentation/docutils.confafile_insertion_enabled raw_enabledKline_length_limitM'pep_referencesN pep_base_urlhttps://peps.python.org/pep_file_url_templatepep-%04drfc_referencesN rfc_base_url&https://datatracker.ietf.org/doc/html/ tab_widthKtrim_footnote_reference_spacesyntax_highlightlong smart_quotessmartquotes_locales]character_level_inline_markupdoctitle_xform docinfo_xformKsectsubtitle_xform image_loadinglinkembed_stylesheetcloak_email_addressessection_self_linkenvNubreporterNindirect_targets]substitution_defs}substitution_names}refnames}refids}nameids}(jTjQjjjjjLjIu nametypes}(jTjjjLuh}(jQjXjjjjjIju footnote_refs} citation_refs} autofootnotes]autofootnote_refs]symbol_footnotes]symbol_footnote_refs] footnotes] citations]autofootnote_startKsymbol_footnote_startK id_counter collectionsCounter}jKsRparse_messages]transform_messages] transformerN include_log]>Documentation/translations/zh_CN/security/tpm/xen-tpmfront.rst(NNNNta decorationNhhub.