背景信息

数据一般分为三种形态：静态数据、传输中的数据以及使用中的数据。前两者可以通过加密等方式来保障数据安全；而使用中的数据的安全性保障十分困难，目前一般使用机密计算（Confidential Computing）来保护使用中的数据的安全性。

阿里云虚拟化Enclave在ECS实例内部提供一个可信的隔离空间，将合法软件的安全操作封装在一个Enclave中，保障您的代码和数据的机密性与完整性，不受恶意软件的攻击。

说明

阿里云虚拟化Enclave正在邀测中。您可以提交工单申请使用。

阿里云虚拟化Enclave适用于对敏感和机密数据有强保护需求的业务，例如金融服务、互联网、医疗等。

Enclave的工作原理

使用阿里云虚拟化Enclave构建机密计算环境的工作原理，是在ECS实例（即主VM）内切分计算资源（包括vCPU和内存），创建一个Enclave VM（简称EVM）作为可信执行环境。EVM的安全性保障体现在以下几方面：

由底层虚拟化技术提供安全隔离，EVM和主VM之间隔离，并且和其他ECS实例也隔离。

EVM运行独立的、定制化的可信操作系统，没有持久化存储、交互式连接或外部网络通路，仅允许通过本地安全信道（基于vsock）与主VM进行通信，更大程度缩小攻击面。您可以将涉及机密数据的应用放入EVM中运行，通过安全调用的形式与运行在主VM上的应用进行交互。

阿里云虚拟化Enclave提供的安全性由多个方面结合实现。底层基于带有TPM/TCM芯片的第三代神龙架构，且为EVM提供vTPM/vTCM设备来增强其安全性和可信能力；上层提供高兼容性的SDK，方便您快速搭建Enclave环境并使用。在可信证明能力方面，您可以对运行在机密执行环境中的代码进行验证，例如借助SDK，机密应用可在运行时生成证明材料（包括平台、应用信息、签名等），再通过远程证明服务端（可结合KMS）验证证明材料的有效性。当主VM切分资源给EVM，并且EVM开始运行时，底层会执行资源访问隔离，确保主VM无法访问这些已经切分出去的vCPU或内存资源，保障EVM的正常运行和私密性。

使用限制

仅g7、c7、r7支持阿里云虚拟化Enclave。

每台ECS实例只允许创建一个Enclave。

使用Enclave前，您必须至少为主VM保留一个处理器物理核以及部分内存，剩余的处理器和内存资源可以灵活地分配给Enclave。如果您开启了超线程，则代表保留了属于一个物理核的两个处理器超线程，因此启用Enclave特性的ECS实例至少需要具备4 vCPU。

其他通用限制，请参见使用限制。

通过工具集使用Enclave

安装Enclave Runtime工具集。

Enclave Runtime工具集负责在主VM上管理Enclave的生命周期，包括Enclave的启动和终止。您可以通过以下任一方式安装：

在创建ECS实例时勾选Enclave，自动安装Enclave Runtime工具集。

说明

通过OpenAPI创建Enclave机密计算的ECS实例时，只能调用RunInstances实现，CreateInstance目前不支持设置机密计算模式参数（SecurityOptions.ConfidentialComputingMode）。

在创建ECS实例后，运行以下命令，在主VM中安装Enclave Runtime工具集。

sudo rpmkeys --import http://mirrors.aliyun.com/epel/RPM-GPG-KEY-EPEL-7

sudo yum install -y alinux-release-experimentals

sudo yum install -y https://enclave.oss-cn-hangzhou.aliyuncs.com/de-platform-runtime-0.1.0-1.2.al7.x86_64.rpm

安装Enclave Runtime后，本地服务会尝试自动拉起Enclave，默认的Enclave镜像存储于/usr/local/share/dragonfly/image.bin，您可以修改配置文件/etc/enclave.conf来变更镜像存储所在路径。配置文件还提供了更多的配置选项，包括分配给Enclave的vCPU和内存资源等。

初次手动安装后，运行以下命令将Enclave镜像下载保存到本地。

wget -O /usr/local/share/dragonfly/image.bin \

  https://enclave-cn-shenzhen.oss-cn-shenzhen.aliyuncs.com/download/linux/enclave_image/x86_64/0.1.0/image-0.1.0.bin

运行systemctl命令，对Enclave进行操作。

systemctl status de_platform_service # 查看运行状态

systemctl start de_platform_service # 启动服务

systemctl restart de_platform_service # 重启服务

systemctl stop de_platform_service # 关闭服务

阿里云数据解决方案[39] 阿里云是什么[38] 阿里云产品报价[36] 阿里云产品介绍[35] 阿里云解决方案[35] 阿里公有云介绍[35] 云规划设计与实施服务[34] 阿里公有云产品[34] 云与计算培训服务[30] 阿里云优势[30] 阿里云官网登陆[30] 阿里云服务器配置[30] 阿里私有云搭建方案[30] 云与计算咨询服务[28] 阿里云服务器[28] 阿里云服务器成功案例[28] 公有云私有云混合云[27] 阿里云官网[27] 阿里公有云提供哪些计算服务[27] 阿里弹性云服务器[27] 阿里云智慧教育解决方案[26] 阿里公有云官网[26] 阿里公有云服务[26] 阿里私有云方案[26] 大数据使能服务[25] 阿里云园区解决方案[25] 阿里私有云平台[25] 阿里云服务器试用[24] 云迁移与运营支撑服务[21] 阿里私有云架构[20] 阿里私有云解决方案[20] 阿里云提供的服务[18] 阿里云智慧制造解决方案[18] 阿里云服务总代理[18] 阿里云云主机[17] 阿里云安全[17] 阿里私有云[17] 阿里云服务服务中心[16] 阿里云服务核心分销商[16] 阿里公有云架构解决方案[16] 阿里私有云搭建[16] 阿里云备份[15] 阿里云服务器ECS[15] 阿里云软件开发服务[15] 阿里公有云行业解决方案[15] 阿里私有云服务[15] 阿里私有云的搭建方案[15] 阿里私有云网格结构[15] 阿里私有云部署架构[15] 阿里云智慧校园解决方案[14] 阿里云漏洞扫描[14] 阿里云网站建设服务器[14] 阿里云邮箱[14] 阿里云块存储[13] 阿里云弹性云服务器应用[13] 阿里云数据库[13] 阿里云服务器应用[13] 阿里云桌面系统集成商[13] 阿里云迁移解决方案[13] 云与计算客户支持与运维使能服务[12] 阿里云桌面总代理商[12] 阿里云速建站[12] 阿里云产品服务[11] 智慧教育云平台解决方案[10] 阿里云场景化解决方案[10] 阿里云域名注册[10] 阿里云速智能客服[10] 阿里公有云架构[10] 阿里智慧云课堂解决方案[10] 阿里公有云视讯解决方案[9] 阿里私有云产品有哪些[9] 智慧教育云计算解决方案[8] 阿里公有云平台[8] 阿里公有云解决方案[8] 阿里公有云通用解决方案[8] 阿里私有云服务器[8] 阿里云智慧***解决方案[6] 阿里公有云和私有云区别[6] [5] 云与计算客户支持服务[5] 云盘基础操作[5] 阿里公有云是什么[5] 阿里公有云解决方案服务定制领导者[5] 阿里私有云解决方案服务定制领导者[5] 阿里虚拟私有云vpc[5] 扩容云盘[4] 阿里云HTTPS加密访问[4] 阿里云共建智能世界云底座[4] 阿里云域名解析[4] 阿里云应用镜像(13款)[4] 阿里公有云[4] 大数据使能服务[3] 阿里云园区解决方案[3] 阿里公有云产品[3] 加密云盘[3] 阿里云代理公司有哪些[3] 阿里云官网网站[3] 阿里云手机代理加盟[3] 阿里云经销商[3] 阿里公有云专属云主机DeH服务[3] 阿里云官网[2] 阿里云解决方案[2] 阿里公有云架构[2] 阿里私有云搭建[2] 云规划设计与实施服[2] 阿里云企业邮箱服务[2] 阿里云企业邮箱服务 (SAAS,云邮箱）[2] 阿里云数据解决方案 [2] 智慧教育云计算解决方案[1] 阿里云产品服务[1] 阿里云域名注册[1] 云与计算咨询服务[1] 阿里云云主机[1] 阿里云产品报价[1] 阿里云产品服务[1] 阿里云优势[1] 阿里云智慧制造解决方案[1] 阿里云智慧校园解决方案[1] 阿里云服务器ECS[1] 阿里云服务器应用[1] 阿里云服务器成功案例[1] 阿里云服务器试用[1] 阿里云服务器配置[1] 阿里云服务核心分销商 [1] 阿里云速智能客服[1] 阿里公有云平台[1] 阿里私有云搭建方案[1] HTTPS加密访问（CA证书）[1] 专属块存储集群[1] 专属块存储集群概述[1] 主机新用户使用指南[1] 云盘加密概述[1] 云盘扩容指引[1] 修改云盘标签[1] 加密数据盘[1] 加密系统盘[1] 单实例[1] 卸载或挂载系统盘[1] 卸载数据盘[1] 基础环境配置[1] 如何选购云虚拟主机[1] 快照灵活易用[1] 扩容云盘容量[1] 扩容分区和文件系统（Windows）[1] 提供DDoS防护[1] 撒[1] 最新一代CIPU网络[1] 查看磁盘序列号[1] 网站开通要素[1] 腾讯云园区解决方案[1] 腾讯云数据解决方案[1] 腾讯云解决方案[1] 转换MBR分区为GPT分区[1] 释放云盘[1] 镜像跨地域无缝迁移[1] 阿里云[1] 阿里云主备架构[1] 阿里云产品报价 云规划设计与实施服务[1] 阿里云企业级能力[1] 阿里云原生MySQL生态[1] 阿里云原生数据库 PolarDB[1] 阿里云备份恢复[1] 阿里云官方网站,网络安全隔离[1] 阿里云客户端[1] 阿里云故障切换[1] 阿里云数据传输服务 DTS[1] 阿里云数据库 MongoDB 版[1] 阿里云数据库 RDS MySQL 版[1] 阿里云数据库自治服务 DAS[1] 阿里云数据管理 DMS[1] 阿里云智慧解决方案[1] 阿里云智慧＊＊＊解决方案[1] 阿里云服务器ＥＣＳ[1] 阿里云自动分区[1] 阿里云解决方案 [1] 阿里云速智能客服 阿里私有云 阿里私有云解决方案[1] 阿里公有云架[1] 阿里私有云产品有什么[1] 阿里私有云搭建 [1] 高级环境配置（Linux操作系统）[1] 高级环境配置（Windows操作系统）[1]