智汇华云|基于TPM2.0的windows11虚拟机实践
前言
TPM主要是利用经过安全验证的加密密钥为设备带来更强的安全性，它是许多安全应用的核心。本期智汇华云，从实际TPM设备应用场景出发，简单介绍TPM直通给虚拟机技术的架构和原理。
1，什么是TPM
TPM的全称是信赖平台模组或是称为可信平台模组(Trusted Platform Module，缩写：TPM)，这是一项安全密码处理器的国际标准，旨在使用装置中整合的专用芯片，可以处理装置中的加密金钥。TPM主要是利用经过安全验证的加密密钥为设备带来更强的安全性，它是许多安全应用的核心。比如windows系统里面的Bitlocker就需要用到TPM，微软通过将TPM 2.0设为强制性系统要求来提高Windows 11操作系统的安全基线。目前的主流的电脑基本都已经支持TPM 2.0功能。
未来的PC需要这种现代硬件信任根来帮助抵御常见和复杂的攻击，如勒索软件和来自民族国家的更复杂的攻击。通过要求内置根的信任需要TPM 2.0提升了硬件的安全标准。
2，TPM在虚拟化场景的应用
2.1 准备工作
正常来说，物理机上的TPM是给host使用的，本文结合虚拟化场景，尝试TPM设备直通给虚拟机使用。
首先，我们需要在服务器的BIOS里面开启TPM，进入IPMI打开BIOS进行设置
并且需要重启才能生效
当服务器重启之后，我们进入到服务器后台，查看当前host上的tpm设备
至此，我们在host系统内部看到了tpm设备，说明tpm已经开启。
2.2 开通windows11虚拟机，并直通TPM设备
本文以windows11系统为例进行测试，我们将tpm设备直通给windows11虚拟机使用，其整体架构如下
为了windows11能够顺利启动，需要准备以下2个前置条件：
1，host上需要安装支持windows11的secboot fd
yum install -y OVMF-20180508-6.gitee3198e672e2.el7.noarch
并且，/etc/libvirt/qemu.conf的nvram中加上：
"/usr/share/OVMF/OVMF_CODE.secboot.fd": "/usr/share/OVMF/OVMF_VARS.secboot.fd"
2，windows11虚拟机必须以UEFI方式启动
启动windows11之后，我们可以通过虚拟机的xml配置可以看到tpm的配置
2.3 通过对比是否直通TPM设备，查看windows11启动的效果
1，没有直通TPM设备的windows11虚拟机
由截图中的提示，链接到微软官网，可知，没有直通TPM设备，windows11虚拟机无法完成系统的安装。
2，直通TPM给windows11虚拟机
进入windows11系统内部，通过执行get-tpm命令可以看到当前tpm设备的状态，说明当前windows11虚拟机内部，tpm设备已经准备就绪。
3，结束语
本文从实际TPM设备应用场景出发，简单介绍了TPM直通给虚拟机的技术的架构和原理，并在此基础上，实现了TPM设备直通给虚拟机的功能。目前，在华云数据产品线中已经实现了TPM设备直通虚拟化技术，帮助客户抵御常见和复杂的攻击，为客户的应用带来更高的安全性。
相关推荐
