Ubuntu 26.04 LTS推出虚拟化HWE：加速机密计算落地

Mark Do 3 小时前暂无评论阅读 14 次

机密计算进入快车道

机密计算技术正在飞速发展。AMD SEV-SNP和Intel TDX等硬件基础已经就绪，它们能够创建机密虚拟机（VM），为使用中的敏感数据提供更强的保护。最新发布的Ubuntu 26.04 LTS（长期支持版）已原生集成对这两项技术的宿主机和客户机支持，使机密计算成为Ubuntu虚拟化方案的原生组成部分。

新特性仍在路上，LTS面临两难

然而，下一波功能仍在开发和上游合入过程中。机密VM的在线迁移、可信设备分配、加速器支持、改进的证明流程，以及TEE设备接口安全协议（TDISP）等技术，都需要对虚拟化堆栈进行全栈改动。这些特性并非依赖于单一组件，而是需要内核、KVM、QEMU、libvirt、OVMF以及周边工具链协同支持，才能让用户真正用起来。

这就给企业级Linux发行版带来了挑战：生产环境需要LTS的稳定性，但硬件创新不会等待两年一次的大版本。如何解决这一矛盾？

LTS版本上的新硬件使能方案

Ubuntu LTS版本专为生产环境打造：它们提供稳定的基础、可预测的生命周期和长期安全维护。正是这些特性让企业将其用于关键基础设施。

但虚拟化与硬件紧密耦合。当CPU厂商增加新能力时，软件堆栈必须随之演进。对于机密计算，该堆栈包括内核和KVM、QEMU、libvirt、OVMF等固件以及管理工具。

问题的关键在于，机密计算功能很少同时抵达所有相关组件。例如：处理器可能早于内核提供完备接口就支持某功能；QEMU可能需要新增支持来模拟该特性；libvirt需要新的抽象层让用户不必编写复杂的QEMU命令行就能配置；OVMF需要调整才能让机密客户机正确启动；证明组件也要成熟到能证明工作负载在何处、如何运行。只有当这些环节对齐时，功能才真正可用。

早在Ubuntu 26.04 LTS之前，Ubuntu就已拥有内核级别的硬件使能（HWE）模型。这是机密计算使能的核心：包括KVM支持、内存管理变更、CPU特性启用，以及机密VM依赖的低级接口。

但内核只是其中一层。如果内核向前推进，而QEMU、libvirt或固件落后太多，用户仍然无法端到端使用新的虚拟化能力。机密计算使这一现象尤为突出，因为功能边界同时跨越多个层次。

这就是为什么传统LTS模型对于快速演进的虚拟化特性难以胜任。如果用户必须等待下一个LTS才能获得更新的虚拟化组件，他们可能被迫在平台稳定性和新硬件能力之间做出取舍。

对于机密计算而言，这种权衡并不理想。该技术正越来越多地应用于受监管工作负载、AI基础设施、主权云、金融服务和敏感数据处理等场景。这些场景的用户既需要稳定性，也需要能够发挥新硬件价值的特性。