准备 SGX 服务器环境

SGX 服务器选型

选项 1：使用 Azure 机密计算虚拟机（Azure Confidential Compute VM）

Azure 云平台部署操作方式，请遵循安装指南。仅需要【配置 Intel SGX 虚拟机】部分，下面列出了必要的设置：

• 创建资源 Ubuntu 20.04 LTS

• 在 “虚拟机名称” 中，为新 VM 输入一个名称，如 CoboTSSNode

• 区域：选择合适的 Azure 区域

• 选择映像： Ubuntu 20.04 LTS - Gen2

• WM 大小 (建议)： Standard DC1ds v3 (1 vcpu, 8 GiB memory)

有关如何使用 Azure Portal 部署支持 SGX 的服务器的详细信息，请点击此处。

选项 2：使用阿里云加密计算环境

阿里云平台部署操作方式，请遵循安装指南。以创建 g7t、c7t 或 r7t 实例，下面列出了必要的设置：

• 版本选择 Ubuntu 20.04 64 位 UEFI 版

• 建议内存：8 GB 及以上

• 加密内存：4 GB 及以上

• 硬盘：64G SSD

选项 3：使用自主运维的 SGX 服务器物理机

查询支持 SGX 的处理器：

• 访问 Intel 官网
• 点击最底部 Find products by feature

• 在 Filters 选择 Processors ； Choose a filters 选择 Intel® Software Guard Extensions (Intel® SGX)

• 在左侧菜单选择 Yes with both Intel® SPS and Intel® ME (Intel® Server Platform Services and Intel® Management Engine)

• 展示符合条件的处理器型号列表，目前支持列表如下：

型号	核数	Max Turbo Frequency	Base Frequency	Cache
Intel® Xeon® E-2278GE Processor	8	4.70 GHz	3.30 GHz	16 MB
Intel® Xeon® E-2278GEL Processor	8	3.90 GHz	2.00 GHz	16 MB
Intel® Xeon® E-2274G Processor	4	4.90 GHz	4.00 GHz	8 MB Intel® Smart Cache
Intel® Xeon® E-2276G Processor	6	4.90 GHz	3.80 GHz	12 MB Intel® Smart Cache
Intel® Xeon® E-2278G Processor	8	5.00 GHz	3.40 GHz	16 MB Intel® Smart Cache
Intel® Xeon® E-2286G Processo	6	4.90 GHz	4.00 GHz	12 MB Intel® Smart Cache
Intel® Xeon® E-2288G Processor	8	5.00 GHz	3.70 GHz	16 MB Intel® Smart Cache
Intel® Xeon® E-2174G Processor	4	4.70 GHz	3.80 GHz	8 MB Intel® Smart Cache
Intel® Xeon® E-2176G Processor	6	4.70 GHz	3.70 GHz	12 MB Intel® Smart Cache
Intel® Xeon® E-2186G Processor	6	4.70 GHz	3.80 GHz	12 MB Intel® Smart Cache

SGX 服务器配置：

• BIOS 设置:

  • Enable Intel SGX (Software Guard Extension)

  • Enable DCAP (FLC)

  • Disable hyperthreading

• 系统：Ubuntu Server 20.04 LTS 或 22.04 LTS

• 建议内存: 8 GB RAM

• 建议存储: 128 GB SSD

• SGX 加密内存最小：2GB EPC

测试 SGX 使能状态

SGX 加密计算环境构建完成后，可以通过 cpuid 检查 SGX 使能状态，执行如下 shell 命令

sudo apt update
sudo apt install cpuid
cpuid -1 | grep SGX

显示如下三条显示为 true 的状态，表示 SGX 已经被正确使能。其余显示为 false 的条目不需要关注。

SGX: Software Guard Extensions supported = true
SGX_LC: SGX launch config supported      = true
SGX capability (0x12/0):
SGX1 supported                         = true

安装 SGX 驱动

大部分云服务商提供的 SGX 镜像已经默认安装了 SGX 驱动。此外，TSS Node 启动脚本也会自动检查并在提示您确认后自动安装 SGX 驱动（Intel DCAP 1.41 驱动）。 测试 SGX 驱动是否已经安装：

ls /dev/sgx*

应至少显示有如下两个设备节点，表示 SGX 驱动已经正确安装：

/dev/sgx_enclave  /dev/sgx_provision

更多了解 SGX 驱动，以及其手动安装：

SGX 驱动已经合并到 Linux 内核主线，5.11 及以上版本的内核默认自带了 SGX 驱动。因此，推荐的做法是使用 5.11 以上的最新版本内核的系统。例如：

• Ubuntu 22.04 LTS server + 默认内核

• Ubuntu 20.04 LTS server + HWE内核升级（请参考文档）

如果不使用主线内核提供的驱动，您也可以安装 Intel 发布的驱动程序。Intel 提供了2种不同的驱动程序：DCAP 驱动 和 OOT (Legacy) 驱动。TSS Node仅支持 DCAP Driver。

SGX 驱动的官方安装文档，请参考【Driver Installation】章节

按照下面步骤，可手动在 Ubuntu 20.04 安装 DCAP 1.41 版本驱动。如需其他版本，请按照上述文档相应替换下载链接地址。

• 更新 apt 资源列表

sudo apt update

• 安装依赖

sudo apt install build-essential ocaml automake autoconf libtool \
     wget python libssl-dev dkms -y

• 下载 Intel SGX DCAP 驱动

wget \ https://download.01.org/intel-sgx/latest/linux-latest/distro/ubuntu20.04-server/sgx_linux_x64_driver_1.41.bin

• 修改 Intel SGX DCAP 驱动安装文件执行权限

chmod a+x sgx_linux_x64_driver_1.41.bin

• 安装 Intel SGX DCAP 驱动

sudo ./sgx_linux_x64_driver_1.41.bin

• 检查驱动是否安装成功

$ ls /dev/sgx*
/dev/sgx_enclave  /dev/sgx_provision

安装 Docker Engine

TSS Node 依赖 Docker。TSS Node 启动脚本会自动检查并在提示您确认后自动安装 Docker。

不过，鉴于 Docker 属于较常用的基础系统软件，如果您的组织内有安装和使用的经验，我们建议您按照您的组织内的规范或惯例，手动安装和配置 Docker，以便让后续 TSS-Node 的运维工作能最大程度地和您组织内的已有规范和惯例相符。

在 Ubuntu 上手动安装 Docker Engine，可参考官方文档。