系统架构

行业客户

Host/Guest OS

客户自行选择支持VirtCCA的Linux OS进行Host/Guest OS的安装部署。Host和Guest OS目前已开源到openEuler社区。

libvirt和QEMU：负责机密虚拟机的部署和管理。

KVM模块：运行在Normal World中，完成任务调度和资源分配工作，并负责所有cVM的生命周期管理。

TMI模块：TrustZone Management Interface，KVM通过TMI与TMM通信。

华为交付件

TMM

运行在TEE内的虚拟化组件，负责机密虚拟机的CPU和内存的虚拟化管理。正常情况下，客户如果购买了支持TEE套件的鲲鹏服务器，TMM会内置于硬件平台内，后续可以通过升级TMM更新版本。

硬件Firmware

为支持TEE套件特性，硬件Firmware版本也进行了相关的适配：

• BIOS：支持对TMM的解密、安全启动，以及对涉及功能的配置。
• BMC：支持对TMM的升级维护。
• 支持TEE套件的硬件Firmware随同硬件在产线预装，客户需要通过硬件的Firmware版本获取途径获得更新。

TEE套件SDK

为支持TEE套件远程证明功能、以及密钥派生功能被客户应用集成，TEE套件提供了对应的SDK方便客户开发，其中包括：

• 远程证明库
• Sealing Key库
• RATS-TLS库