Wsphinx.addnodesdocument)}( rawsourcechildren]( translations LanguagesNode)}(hhh](h pending_xref)}(hhh]docutils.nodesTextEnglish}parenthsba attributes}(ids]classes]names]dupnames]backrefs] refdomainstdreftypedoc reftarget/security/tpm/xen-tpmfrontmodnameN classnameN refexplicitutagnamehhh ubh)}(hhh]hChinese (Traditional)}hh2sbah}(h]h ]h"]h$]h&] refdomainh)reftypeh+ reftarget-/translations/zh_TW/security/tpm/xen-tpmfrontmodnameN classnameN refexplicituh1hhh ubh)}(hhh]hItalian}hhFsbah}(h]h ]h"]h$]h&] refdomainh)reftypeh+ reftarget-/translations/it_IT/security/tpm/xen-tpmfrontmodnameN classnameN refexplicituh1hhh ubh)}(hhh]hJapanese}hhZsbah}(h]h ]h"]h$]h&] refdomainh)reftypeh+ reftarget-/translations/ja_JP/security/tpm/xen-tpmfrontmodnameN classnameN refexplicituh1hhh ubh)}(hhh]hKorean}hhnsbah}(h]h ]h"]h$]h&] refdomainh)reftypeh+ reftarget-/translations/ko_KR/security/tpm/xen-tpmfrontmodnameN classnameN refexplicituh1hhh ubh)}(hhh]hPortuguese (Brazilian)}hhsbah}(h]h ]h"]h$]h&] refdomainh)reftypeh+ reftarget-/translations/pt_BR/security/tpm/xen-tpmfrontmodnameN classnameN refexplicituh1hhh ubh)}(hhh]hSpanish}hhsbah}(h]h ]h"]h$]h&] refdomainh)reftypeh+ reftarget-/translations/sp_SP/security/tpm/xen-tpmfrontmodnameN classnameN refexplicituh1hhh ubeh}(h]h ]h"]h$]h&]current_languageChinese (Simplified)uh1h hh _documenthsourceNlineNubhcomment)}(h SPDX-License-Identifier: GPL-2.0h]h SPDX-License-Identifier: GPL-2.0}hhsbah}(h]h ]h"]h$]h&] xml:spacepreserveuh1hhhhhhZ/var/lib/git/docbuild/linux/Documentation/translations/zh_CN/security/tpm/xen-tpmfront.rsthKubhnote)}(hX{此文件的目的是为让中文读者更容易阅读和理解，而不是作为一个分支。 因此， 如果您对此文件有任何意见或更新，请先尝试更新原始英文文件。 如果您发现本文档与原始文件有任何不同或者有翻译问题，请发建议或者补丁给 该文件的译者，或者请求中文文档维护者和审阅者的帮助。h]h paragraph)}(hX{此文件的目的是为让中文读者更容易阅读和理解，而不是作为一个分支。 因此， 如果您对此文件有任何意见或更新，请先尝试更新原始英文文件。 如果您发现本文档与原始文件有任何不同或者有翻译问题，请发建议或者补丁给 该文件的译者，或者请求中文文档维护者和审阅者的帮助。h]hX{此文件的目的是为让中文读者更容易阅读和理解，而不是作为一个分支。 因此， 如果您对此文件有任何意见或更新，请先尝试更新原始英文文件。 如果您发现本文档与原始文件有任何不同或者有翻译问题，请发建议或者补丁给 该文件的译者，或者请求中文文档维护者和审阅者的帮助。}(hhhhhNhNubah}(h]h ]h"]h$]h&]uh1hh5Documentation/translations/zh_CN/disclaimer-zh_CN.rsthKhhubah}(h]h ]h"]h$]h&]uh1hhhhhhhhNubh field_list)}(hhh](hfield)}(hhh](h field_name)}(hOriginalh]hOriginal}(hhhhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhhhKubh field_body)}(h,Documentation/security/tpm/xen-tpmfront.rst h]h)}(h+Documentation/security/tpm/xen-tpmfront.rsth]h+Documentation/security/tpm/xen-tpmfront.rst}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhKhjubah}(h]h ]h"]h$]h&]uh1hhhubeh}(h]h ]h"]h$]h&]uh1hhhhKhhhhubh)}(hhh](h)}(h翻译h]h翻译}(hj"hhhNhNubah}(h]h ]h"]h$]h&]uh1hhjhhhKubj)}(h.赵硕 Shuo Zhao h]h)}(h-赵硕 Shuo Zhao h](h赵硕 Shuo Zhao <}(hj4hhhNhNubh reference)}(hzhaoshuo@cqsoftware.com.cnh]hzhaoshuo@cqsoftware.com.cn}(hj>hhhNhNubah}(h]h ]h"]h$]h&]refuri!mailto:zhaoshuo@cqsoftware.com.cnuh1j<hj4ubh>}(hj4hhhNhNubeh}(h]h ]h"]h$]h&]uh1hhhhKhj0ubah}(h]h ]h"]h$]h&]uh1hhjubeh}(h]h ]h"]h$]h&]uh1hhhhKhhhhubeh}(h]h ]h"]h$]h&]uh1hhhhhhhhKubhsection)}(hhh](htitle)}(hXen的虚拟TPM接口h]hXen的虚拟TPM接口}(hjqhhhNhNubah}(h]h ]h"]h$]h&]uh1johjlhhhhhK ubh)}(h;作者：Matthew Fioravante (JHUAPL), Daniel De Graaf (NSA)h]h;作者：Matthew Fioravante (JHUAPL), Daniel De Graaf (NSA)}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhK hjlhhubh)}(h本文档描述了用于Xen的虚拟可信平台模块（vTPM）子系统。假定读者熟悉 Xen和Linux的构建和安装，并对TPM和vTPM概念有基本的理解。h]h本文档描述了用于Xen的虚拟可信平台模块（vTPM）子系统。假定读者熟悉 Xen和Linux的构建和安装，并对TPM和vTPM概念有基本的理解。}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhKhjlhhubjk)}(hhh](jp)}(h介绍h]h介绍}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1johjhhhhhKubh)}(hX这项工作的目标是为虚拟客户操作系统（在Xen中称为DomU）提供TPM功能。这使得 程序能够像与物理系统上的TPM交互一样，与虚拟系统中的TPM进行交互。每个客户 操作系统都会获得一个唯一的、模拟的软件TPM。然而，vTPM的所有秘密（如密钥、 NVRAM 等）由vTPM管理域进行管理，该域将这些秘密封存到物理TPM中。如果创建这 些域（管理域、vTPM域和客户域）的过程是可信的，vTPM子系统就能将根植于硬件 TPM的信任链扩展到Xen中的虚拟机。vTPM的每个主要组件都作为一个独立的域实现， 从而通过虚拟机监控程序（hypervisor）提供安全隔离。h]hX这项工作的目标是为虚拟客户操作系统（在Xen中称为DomU）提供TPM功能。这使得 程序能够像与物理系统上的TPM交互一样，与虚拟系统中的TPM进行交互。每个客户 操作系统都会获得一个唯一的、模拟的软件TPM。然而，vTPM的所有秘密（如密钥、 NVRAM 等）由vTPM管理域进行管理，该域将这些秘密封存到物理TPM中。如果创建这 些域（管理域、vTPM域和客户域）的过程是可信的，vTPM子系统就能将根植于硬件 TPM的信任链扩展到Xen中的虚拟机。vTPM的每个主要组件都作为一个独立的域实现， 从而通过虚拟机监控程序（hypervisor）提供安全隔离。}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhKhjhhubh)}(h[这个mini-os vTPM 子系统是建立在IBM和Intel公司之前的vTPM工作基础上的。h]h[这个mini-os vTPM 子系统是建立在IBM和Intel公司之前的vTPM工作基础上的。}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhKhjhhubeh}(h]id1ah ]h"]介绍ah$]h&]uh1jjhjlhhhhhKubjk)}(hhh](jp)}(h 设计概述h]h 设计概述}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1johjhhhhhK!ubh)}(hvTPM的架构描述如下::h]hvTPM的架构描述如下:}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhK#hjhhubh literal_block)}(hX+------------------+ | Linux DomU | ... | | ^ | | v | | | xen-tpmfront | +------------------+ | ^ v | +------------------+ | mini-os/tpmback | | | ^ | | v | | | vtpm-stubdom | ... | | ^ | | v | | | mini-os/tpmfront | +------------------+ | ^ v | +------------------+ | mini-os/tpmback | | | ^ | | v | | | vtpmmgr-stubdom | | | ^ | | v | | | mini-os/tpm_tis | +------------------+ | ^ v | +------------------+ | Hardware TPM | +------------------+h]hX+------------------+ | Linux DomU | ... | | ^ | | v | | | xen-tpmfront | +------------------+ | ^ v | +------------------+ | mini-os/tpmback | | | ^ | | v | | | vtpm-stubdom | ... | | ^ | | v | | | mini-os/tpmfront | +------------------+ | ^ v | +------------------+ | mini-os/tpmback | | | ^ | | v | | | vtpmmgr-stubdom | | | ^ | | v | | | mini-os/tpm_tis | +------------------+ | ^ v | +------------------+ | Hardware TPM | +------------------+}hjsbah}(h]h ]h"]h$]h&]hhuh1jhhhK%hjhhubh bullet_list)}(hhh](h list_item)}(hhLinux DomU: 希望使用vTPM的基于Linux的客户机。可能有多个这样的实例。 h]hdefinition_list)}(hhh]hdefinition_list_item)}(h[Linux DomU: 希望使用vTPM的基于Linux的客户机。可能有多个这样的实例。 h](hterm)}(h Linux DomU:h]h Linux DomU:}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1jhhhKHhjubh definition)}(hhh]h)}(hN希望使用vTPM的基于Linux的客户机。可能有多个这样的实例。h]hN希望使用vTPM的基于Linux的客户机。可能有多个这样的实例。}(hj*hhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhKHhj'ubah}(h]h ]h"]h$]h&]uh1j%hjubeh}(h]h ]h"]h$]h&]uh1jhhhKHhj ubah}(h]h ]h"]h$]h&]uh1j hjubah}(h]h ]h"]h$]h&]uh1jhjhhhNhNubj)}(hxen-tpmfront.ko: Linux内核虚拟TPM前端驱动程序。该驱动程序为基于Linux的DomU提供 vTPM访问。 h]j )}(hhh]j)}(hsxen-tpmfront.ko: Linux内核虚拟TPM前端驱动程序。该驱动程序为基于Linux的DomU提供 vTPM访问。 h](j)}(hxen-tpmfront.ko:h]hxen-tpmfront.ko:}(hj[hhhNhNubah}(h]h ]h"]h$]h&]uh1jhhhKLhjWubj&)}(hhh]h)}(haLinux内核虚拟TPM前端驱动程序。该驱动程序为基于Linux的DomU提供 vTPM访问。h]haLinux内核虚拟TPM前端驱动程序。该驱动程序为基于Linux的DomU提供 vTPM访问。}(hjlhhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhKKhjiubah}(h]h ]h"]h$]h&]uh1j%hjWubeh}(h]h ]h"]h$]h&]uh1jhhhKLhjTubah}(h]h ]h"]h$]h&]uh1j hjPubah}(h]h ]h"]h$]h&]uh1jhjhhhNhNubj)}(hX mini-os/tpmback: Mini-os TPM后端驱动程序。Linux前端驱动程序通过该后端驱动程序连 接，以便在Linux DomU和其vTPM之间进行通信。该驱动程序还被 vtpmmgr-stubdom用于与vtpm-stubdom通信。 h]j )}(hhh]j)}(hmini-os/tpmback: Mini-os TPM后端驱动程序。Linux前端驱动程序通过该后端驱动程序连 接，以便在Linux DomU和其vTPM之间进行通信。该驱动程序还被 vtpmmgr-stubdom用于与vtpm-stubdom通信。 h](j)}(hmini-os/tpmback:h]hmini-os/tpmback:}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1jhhhKQhjubj&)}(hhh]h)}(hMini-os TPM后端驱动程序。Linux前端驱动程序通过该后端驱动程序连 接，以便在Linux DomU和其vTPM之间进行通信。该驱动程序还被 vtpmmgr-stubdom用于与vtpm-stubdom通信。h]hMini-os TPM后端驱动程序。Linux前端驱动程序通过该后端驱动程序连 接，以便在Linux DomU和其vTPM之间进行通信。该驱动程序还被 vtpmmgr-stubdom用于与vtpm-stubdom通信。}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhKOhjubah}(h]h ]h"]h$]h&]uh1j%hjubeh}(h]h ]h"]h$]h&]uh1jhhhKQhjubah}(h]h ]h"]h$]h&]uh1j hjubah}(h]h ]h"]h$]h&]uh1jhjhhhNhNubj)}(hvtpm-stubdom: 一个实现vTPM的mini-os存根域。每个正在运行的vtpm-stubdom实例与系统 上的逻辑vTPM之间有一一对应的关系。vTPM平台配置寄存器（PCRs）通常都 初始化为零。 h]j )}(hhh]j)}(hvtpm-stubdom: 一个实现vTPM的mini-os存根域。每个正在运行的vtpm-stubdom实例与系统 上的逻辑vTPM之间有一一对应的关系。vTPM平台配置寄存器（PCRs）通常都 初始化为零。 h](j)}(h vtpm-stubdom:h]h vtpm-stubdom:}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1jhhhKVhjubj&)}(hhh]h)}(h一个实现vTPM的mini-os存根域。每个正在运行的vtpm-stubdom实例与系统 上的逻辑vTPM之间有一一对应的关系。vTPM平台配置寄存器（PCRs）通常都 初始化为零。h]h一个实现vTPM的mini-os存根域。每个正在运行的vtpm-stubdom实例与系统 上的逻辑vTPM之间有一一对应的关系。vTPM平台配置寄存器（PCRs）通常都 初始化为零。}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhKThjubah}(h]h ]h"]h$]h&]uh1j%hjubeh}(h]h ]h"]h$]h&]uh1jhhhKVhjubah}(h]h ]h"]h$]h&]uh1j hjubah}(h]h ]h"]h$]h&]uh1jhjhhhNhNubj)}(hmini-os/tpmfront: Mini-os TPM前端驱动程序。vTPM mini-os域vtpm-stubdom使用该驱动程序 与vtpmmgr-stubdom通信。此驱动程序还用于与vTPM域通信的mini-os域，例 如 pv-grub。 h]j )}(hhh]j)}(hmini-os/tpmfront: Mini-os TPM前端驱动程序。vTPM mini-os域vtpm-stubdom使用该驱动程序 与vtpmmgr-stubdom通信。此驱动程序还用于与vTPM域通信的mini-os域，例 如 pv-grub。 h](j)}(hmini-os/tpmfront:h]hmini-os/tpmfront:}(hj!hhhNhNubah}(h]h ]h"]h$]h&]uh1jhhhK[hjubj&)}(hhh]h)}(hMini-os TPM前端驱动程序。vTPM mini-os域vtpm-stubdom使用该驱动程序 与vtpmmgr-stubdom通信。此驱动程序还用于与vTPM域通信的mini-os域，例 如 pv-grub。h]hMini-os TPM前端驱动程序。vTPM mini-os域vtpm-stubdom使用该驱动程序 与vtpmmgr-stubdom通信。此驱动程序还用于与vTPM域通信的mini-os域，例 如 pv-grub。}(hj2hhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhKYhj/ubah}(h]h ]h"]h$]h&]uh1j%hjubeh}(h]h ]h"]h$]h&]uh1jhhhK[hjubah}(h]h ]h"]h$]h&]uh1j hjubah}(h]h ]h"]h$]h&]uh1jhjhhhNhNubj)}(hXvtpmmgr-stubdom: 一个实现vTPM管理器的mini-os域。系统中只有一个vTPM管理器，并且在整个 机器生命周期内应一直运行。此域调节对系统中物理TPM的访问，并确保每个 vTPM的持久状态。 h]j )}(hhh]j)}(hvtpmmgr-stubdom: 一个实现vTPM管理器的mini-os域。系统中只有一个vTPM管理器，并且在整个 机器生命周期内应一直运行。此域调节对系统中物理TPM的访问，并确保每个 vTPM的持久状态。 h](j)}(hvtpmmgr-stubdom:h]hvtpmmgr-stubdom:}(hjchhhNhNubah}(h]h ]h"]h$]h&]uh1jhhhK`hj_ubj&)}(hhh]h)}(h一个实现vTPM管理器的mini-os域。系统中只有一个vTPM管理器，并且在整个 机器生命周期内应一直运行。此域调节对系统中物理TPM的访问，并确保每个 vTPM的持久状态。h]h一个实现vTPM管理器的mini-os域。系统中只有一个vTPM管理器，并且在整个 机器生命周期内应一直运行。此域调节对系统中物理TPM的访问，并确保每个 vTPM的持久状态。}(hjthhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhK^hjqubah}(h]h ]h"]h$]h&]uh1j%hj_ubeh}(h]h ]h"]h$]h&]uh1jhhhK`hj\ubah}(h]h ]h"]h$]h&]uh1j hjXubah}(h]h ]h"]h$]h&]uh1jhjhhhNhNubj)}(hmini-os/tpm_tis: Mini-osTPM1.2版本TPM 接口规范（TIS）驱动程序。该驱动程序由vtpmmgr-stubdom 用于直接与硬件TPM通信。通信通过将硬件内存页映射到vtpmmgr-stubdom来实现。 h]j )}(hhh]j)}(hmini-os/tpm_tis: Mini-osTPM1.2版本TPM 接口规范（TIS）驱动程序。该驱动程序由vtpmmgr-stubdom 用于直接与硬件TPM通信。通信通过将硬件内存页映射到vtpmmgr-stubdom来实现。 h](j)}(hmini-os/tpm_tis:h]hmini-os/tpm_tis:}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1jhhhKdhjubj&)}(hhh]h)}(hMini-osTPM1.2版本TPM 接口规范（TIS）驱动程序。该驱动程序由vtpmmgr-stubdom 用于直接与硬件TPM通信。通信通过将硬件内存页映射到vtpmmgr-stubdom来实现。h]hMini-osTPM1.2版本TPM 接口规范（TIS）驱动程序。该驱动程序由vtpmmgr-stubdom 用于直接与硬件TPM通信。通信通过将硬件内存页映射到vtpmmgr-stubdom来实现。}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhKchjubah}(h]h ]h"]h$]h&]uh1j%hjubeh}(h]h ]h"]h$]h&]uh1jhhhKdhjubah}(h]h ]h"]h$]h&]uh1j hjubah}(h]h ]h"]h$]h&]uh1jhjhhhNhNubj)}(h;硬件TPM: 固定在主板上的物理 TPM。 h]j )}(hhh]j)}(h.硬件TPM: 固定在主板上的物理 TPM。 h](j)}(h 硬件TPM:h]h 硬件TPM:}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1jhhhKghjubj&)}(hhh]h)}(h"固定在主板上的物理 TPM。h]h"固定在主板上的物理 TPM。}(hjhhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhKghjubah}(h]h ]h"]h$]h&]uh1j%hjubeh}(h]h ]h"]h$]h&]uh1jhhhKghjubah}(h]h ]h"]h$]h&]uh1j hjubah}(h]h ]h"]h$]h&]uh1jhjhhhNhNubeh}(h]h ]h"]h$]h&]bullet*uh1jhhhKGhjhhubeh}(h]id2ah ]h"] 设计概述ah$]h&]uh1jjhjlhhhhhK!ubjk)}(hhh](jp)}(h与Xen的集成h]h与Xen的集成}(hj1hhhNhNubah}(h]h ]h"]h$]h&]uh1johj.hhhhhKjubh)}(hXvTPM驱动程序的支持已在Xen4.3中通过libxl工具堆栈添加。有关设置vTPM和vTPM 管理器存根域的详细信息，请参见Xen文档（docs/misc/vtpm.txt）。一旦存根域 运行，与磁盘或网络设备相同，vTPM设备将在域的配置文件中进行设置h]hXvTPM驱动程序的支持已在Xen4.3中通过libxl工具堆栈添加。有关设置vTPM和vTPM 管理器存根域的详细信息，请参见Xen文档（docs/misc/vtpm.txt）。一旦存根域 运行，与磁盘或网络设备相同，vTPM设备将在域的配置文件中进行设置}(hj?hhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhKlhj.hhubh)}(h为了使用诸如IMA（完整性测量架构）等需要在initrd之前加载TPM的功能，必须将 xen-tpmfront驱动程序编译到内核中。如果不使用这些功能，驱动程序可以作为 模块编译，并像往常一样加载。h]h为了使用诸如IMA（完整性测量架构）等需要在initrd之前加载TPM的功能，必须将 xen-tpmfront驱动程序编译到内核中。如果不使用这些功能，驱动程序可以作为 模块编译，并像往常一样加载。}(hjMhhhNhNubah}(h]h ]h"]h$]h&]uh1hhhhKphj.hhubeh}(h]xenah ]h"]与xen的集成ah$]h&]uh1jjhjlhhhhhKjubeh}(h]xentpmah ]h"]xen的虚拟tpm接口ah$]h&]uh1jjhhhhhhhK ubeh}(h]h ]h"]h$]h&]sourcehuh1hcurrent_sourceN current_lineNsettingsdocutils.frontendValues)}(joN generatorN datestampN source_linkN source_urlN toc_backlinksentryfootnote_backlinksK sectnum_xformKstrip_commentsNstrip_elements_with_classesN strip_classesN report_levelK halt_levelKexit_status_levelKdebugNwarning_streamN tracebackinput_encoding utf-8-siginput_encoding_error_handlerstrictoutput_encodingutf-8output_encoding_error_handlerjerror_encodingutf-8error_encoding_error_handlerbackslashreplace language_codeenrecord_dependenciesNconfigN id_prefixhauto_id_prefixid dump_settingsNdump_internalsNdump_transformsNdump_pseudo_xmlNexpose_internalsNstrict_visitorN_disable_configN_sourcehnj _destinationN _config_files]7/var/lib/git/docbuild/linux/Documentation/docutils.confafile_insertion_enabled raw_enabledKline_length_limitM'pep_referencesN pep_base_urlhttps://peps.python.org/pep_file_url_templatepep-%04drfc_referencesN rfc_base_url&https://datatracker.ietf.org/doc/html/ tab_widthKtrim_footnote_reference_spacesyntax_highlightlong smart_quotessmartquotes_locales]character_level_inline_markupdoctitle_xform docinfo_xformKsectsubtitle_xform image_loadinglinkembed_stylesheetcloak_email_addressessection_self_linkenvNubreporterNindirect_targets]substitution_defs}substitution_names}refnames}refids}nameids}(jhjejjj+j(j`j]u nametypes}(jhjj+j`uh}(jejljjj(jj]j.u footnote_refs} citation_refs} autofootnotes]autofootnote_refs]symbol_footnotes]symbol_footnote_refs] footnotes] citations]autofootnote_startKsymbol_footnote_startK id_counter collectionsCounter}jKsRparse_messages]transform_messages] transformerN include_log]>Documentation/translations/zh_CN/security/tpm/xen-tpmfront.rst(NNNNta decorationNhhub.