[发明专利]信任域架构内的信任域内部的可缩放虚拟机操作

权利要求书

1.一种处理器，包括：

处理器核，用于：

初始化信任域TD以及用于管理所述TD的信任域资源管理器TDRM；

初始化用于管理多个TD-VM的所述TD内的虚拟机监视器TD-VMM；

响应于接收来自所述TDRM的指令，将多个存储器页与所述TD独占地相关联，其中所述多个存储器页利用所述TDRM不能访问的TD私有加密密钥被加密；以及

启用所述处理器的安全仲裁模式SEAM，所述SEAM被分派所述TDRM不能访问的存储器的SEAM范围，其中所述存储器的SEAM范围用于提供所述TDRM与所述多个TD-VM之间的隔离；以及

一个或多个寄存器，用于存储：

所述存储器的SEAM范围的标识符；以及

TD密钥标识符密钥ID，标识所述TD私有加密密钥。

2.如权利要求1所述的处理器，其中，所述处理器核进一步用于响应于来自所述TD-VMM的命令而进行以下操作：

向所述多个TD-VM中的第一TD-VM分派与所述TD相关联的所述多个存储器页中的第一存储器页；

向所述多个TD-VM中的第二TD-VM分派与所述TD相关联的所述多个存储器页中的第二存储器页；以及

向所述TD-VMM分派与所述TD相关联的所述多个存储器页中的第三存储器页。

3.如权利要求1所述的处理器，进一步包括物理地址元数据表PAMT，所述PAMT用于存储与所述TD相关联的所述多个存储器页的属性，其中存储器页的属性包括所述存储器页的状态、类型、所有者标识符、或状况中的至少一个。

4.如权利要求1所述的处理器，其中，所述存储器的SEAM范围包括利用所述TDRM不能访问的SEAM私有加密密钥被加密的一个或多个存储器页。

5.如权利要求1-4中的任一项所述的处理器，其中，所述存储器的SEAM范围包括用于存储安全扩展页表SEPT的一个或多个存储器页，其中所述SEPT包括与所述TD相关联的所述多个存储器页的客户机物理存储器地址GPA到主机物理存储器地址HPA的映射。

6.如权利要求5所述的处理器，其中，所述SEPT包括：

客户机SEPT，用于存储与所述TD相关联的所述多个存储器页中的第一存储器页的第一GPA到HPA映射，其中所述第一存储器页由所述TD-VMM分派给所述多个TD-VM中的一个或多个；以及

主机SEPT，用于存储与所述TD相关联的所述多个存储器页中的第二存储器页的第二GPA到HPA映射，其中所述第二存储器页由所述TD-VMM分派给所述TD-VMM。

7.如权利要求5所述的处理器，其中，所述处理器核进一步用于：

响应于来自所述TDRM的指令，初始化主虚拟机控制结构VMCS并且将所述主VMCS存储在所述存储器的SEAM范围中以维护所述TD-VMM的执行状态，其中所述主VMCS包括指向所述SEPT的指针；以及

响应于来自所述TD-VMM的命令，初始化多个次VMCS并且将所述多个次VMCS存储在所述存储器的SEAM范围中以用于维护所述多个TD-VM的执行状态。

8.如权利要求5所述的处理器，其中，所述处理器核进一步用于：

接收来自所述TD-VMM的命令以向所述多个TD-VM中的第一TD-VM分派与所述TD相关联的所述多个存储器页中的第一存储器页；

进入所述处理器的所述SEAM；以及

更新所述SEPT中的所述第一存储器页的GPA到HPA映射。