2.6. 为 TDX 工作负载配置 TDX 远程测试基础架构

流程

1. 运行以下命令来创建 intel-dcap 命名空间：

   $ oc create namespace intel-dcap

   Copy to Clipboard Toggle word wrap

2. 运行以下命令，切换到 intel-dcap 项目：

   $ oc project intel-dcap

   Copy to Clipboard Toggle word wrap

3. 运行以下命令来更新安全性上下文约束：

   $ oc adm policy add-scc-to-user privileged -z default

   Copy to Clipboard Toggle word wrap

4. 运行以下命令来切换到 default 项目：

   $ oc project default

   Copy to Clipboard Toggle word wrap

5. 运行以下命令设置 PCCS_API_KEY 变量：

   $ export PCCS_API_KEY="${PCCS_API_KEY:-}"

   Copy to Clipboard Toggle word wrap

   PCCS_API_KEY

   Intel® SGX 和 Intel® TDX 置备认证服务的 API 密钥。导航到 Intel Trusted Services API 门户，登录并订阅 Intel® SGX 和 Intel® TDX 置备认证服务。API 键显示在 Manage Subscriptions 页面中。

6. 运行以下命令设置 PCCS_USER_TOKEN 变量：

   $ export PCCS_USER_TOKEN="${PCCS_USER_TOKEN:-mytoken}"

   Copy to Clipboard Toggle word wrap

   PCCS_USER_TOKEN

   指定 PCCS 用户令牌。详情请参阅 Intel® SGX 置备证书缓存服务(Intel® SGX PCCS)的设计指南。

7. 运行以下命令设置 PCCS_ADMIN_TOKEN 变量：

   $ export PCCS_ADMIN_TOKEN="${PCCS_ADMIN_TOKEN:-mytoken}"

   Copy to Clipboard Toggle word wrap

   PCCS_ADMIN_TOKEN

   指定 PCCS 管理令牌。详情请参阅 Intel® SGX 置备证书缓存服务(Intel® SGX PCCS)的设计指南。

8. 运行以下命令，将 PCCS_NODE 变量的值设置为 control plane 节点的名称：

   $ export PCCS_NODE=$(oc get nodes \
     -l 'node-role.kubernetes.io/control-plane=,node-role.kubernetes.io/master=' \
     -o jsonpath='{.items[0].metadata.name}')

   Copy to Clipboard Toggle word wrap

9. 设置集群范围的代理变量：

   • 如果使用集群范围代理，请运行以下命令：

     $ export CLUSTER_HTTPS_PROXY="$(oc get proxy/cluster \
       -o jsonpath={.spec.httpsProxy})"

     Copy to Clipboard Toggle word wrap

   • 如果没有使用代理，请运行以下命令：

     $ export CLUSTER_NO_PROXY="$(oc get proxy/cluster \
       -o jsonpath={.spec.noProxy})"

     Copy to Clipboard Toggle word wrap

10. 运行以下命令，为 PCCS 用户令牌生成 SHA-512 哈希：

    $ export PCCS_USER_TOKEN_HASH=$(echo -n "$PCCS_USER_TOKEN" | sha512sum | tr -d '[:space:]-')

    Copy to Clipboard Toggle word wrap

11. 运行以下命令，为 PCCS admin 令牌生成 SHA-512 哈希：

    $ export PCCS_ADMIN_TOKEN_HASH=$(echo -n "$PCCS_ADMIN_TOKEN" | sha512sum | tr -d '[:space:]-')

    Copy to Clipboard Toggle word wrap

12. 运行以下命令，为 PCCS 证书和密钥创建一个临时目录：

    $ PCCS_PEM_CERT_PATH=$(mktemp -d)

    Copy to Clipboard Toggle word wrap

13. 运行以下命令生成自签名 PCCS 证书和私钥：

    $ openssl req -x509 -sha256 -nodes -days 365 -newkey rsa:2048 \
      -keyout $PCCS_PEM_CERT_PATH/private.pem \
      -out $PCCS_PEM_CERT_PATH/certificate.pem \
      -subj "/C=US/ST=Denial/L=Springfield/O=Dis/CN=www.example.com"

    Copy to Clipboard Toggle word wrap

14. 运行以下命令，将 PCCS_PEM 的值设置为 Base64 编码的 PCCS 私钥：

    $ export PCCS_PEM=$(cat "$PCCS_PEM_CERT_PATH"/private.pem | base64 | tr -d '\n')

    Copy to Clipboard Toggle word wrap

15. 运行以下命令，将 PCCS_CERT 的值设置为 Base64 编码的 PCCS 证书：

    $ export PCCS_CERT=$(cat "$PCCS_PEM_CERT_PATH"/certificate.pem | base64 | tr -d '\n')

    Copy to Clipboard Toggle word wrap

16. 运行以下命令，为 PCCS 创建通用 secret：

    $ oc create secret generic pccs-secrets \
        --namespace intel-dcap \
        --from-literal=PCCS_API_KEY="$PCCS_API_KEY" \
        --from-literal=PCCS_USER_TOKEN_HASH="$PCCS_USER_TOKEN_HASH" \
        --from-literal=USER_TOKEN="$PCCS_USER_TOKEN" \
        --from-literal=PCCS_ADMIN_TOKEN_HASH="$PCCS_ADMIN_TOKEN_HASH"

    Copy to Clipboard Toggle word wrap