sev-attestation

用于加密虚拟机身份验证的AMD SEV-SNP远程证明。

描述

执行AMD SEV-SNP（安全加密虚拟化 - 安全嵌套分页）远程证明，以加密方式验证虚拟机身份和完整性。在以下场景中使用此技能：

• - 证明虚拟机运行在真实的AMD SEV-SNP机密计算环境中
• 在向机密虚拟机交付机密信息前验证其完整性
• 检查SEV-SNP是否可用且配置正确
• 生成用于远程验证的证明报告
• 验证AMD证书链（ARK → ASK → VCEK）
• 调试证明失败或证书问题

关键词：SEV-SNP、证明、机密计算、AMD、VCEK、证书链、远程证明、虚拟机身份、TCB、测量值

工作流程

┌─────────────────────────────────────────────────────────────────┐
│ SEV-SNP 证明流程 │
└─────────────────────────────────────────────────────────────────┘
│
▼
┌─────────────────┐
│ 1. 检测 │
│ SEV-SNP │
│ 是否可用？ │
└────────┬────────┘
│
┌──────────────┴──────────────┐
│ │
▼ ▼
┌─────────┐ ┌─────────┐
│ 是 │ │ 否 │
└────┬────┘ └────┬────┘
│ │
▼ ▼
┌─────────────────┐ ┌─────────────────┐
│ 2. 生成报告 │ │ 退出并显示 │
│ │ │ 有帮助的错误信息 │
└────────┬────────┘ └─────────────────┘
│
▼
┌─────────────────┐
│ 3. 显示报告信息 │
└────────┬────────┘
│
▼
┌─────────────────┐
│ 4. 获取AMD │
│ 证书 │
│ (ARK, ASK, VCEK)│
└────────┬────────┘
│
▼
┌─────────────────┐
│ 5. 验证证书链 │
└────────┬────────┘
│
▼
┌─────────────────┐
│ 6. 验证报告签名 │
└────────┬────────┘
│
▼
┌─────────────────┐
│ 通过 或 │
│ 失败 │
└─────────────────┘

快速开始

检查SEV-SNP是否可用

bash
./scripts/detect-sev-snp.sh

运行完整证明

bash
./scripts/full-attestation.sh [输出目录]

此命令运行完整的6步证明工作流程，并输出通过或失败。

独立步骤

每个步骤可独立运行，用于调试或自定义工作流程：

前提条件

• - snpguest：来自virtee/snpguest的Rust CLI工具
• openssl：用于证书操作
• curl：用于从AMD KDS获取证书
• 根权限：需要访问/dev/sev-guest

安装snpguest：
bash
cargo install snpguest

参考文档

• - 报告字段 - 证明报告字段参考
• 错误代码 - 常见错误和故障排除
• 手动验证 - 基于OpenSSL的验证（无需snpguest）

技术细节

• - AMD KDS URL：https://kdsintf.amd.com
• 证书链：ARK（自签名）→ ASK → VCEK
• 报告签名：ECDSA P-384
• 设备：/dev/sev-guest（需要根权限或sev组成员身份）