第 10 章 配置 AMD SEV Compute 节点，为实例提供内存加密

具有内存加密的实例的限制

• 您无法实时迁移，或使用内存加密暂停和恢复实例。
• 您不能使用 PCI 透传直接访问具有内存加密的实例上的设备。

• 您不能使用 virtio-blk 作为之前早于 kernel-4.18.0-115.el8 (RHEL-8.1.0)内核的内存加密实例的引导磁盘。

  注意

  您可以使用 virtio-scsi 或 SATA 作为引导磁盘，或者 virtio-blk 用于非引导磁盘。

• 在加密实例中运行的操作系统必须提供 SEV 支持。如需更多信息，请参阅 在 RHEL 8 中启用 AMD 安全加密虚拟化 的 红帽知识库解决方案。
• 支持 SEV 的机器在其内存控制器中具有有限的插槽来存储加密密钥。每个带有加密内存的实例都会消耗其中一个插槽。因此，可同时运行的内存加密的实例数量仅限于内存控制器中的插槽数量。例如，在1st Gen AMD EPYC™ 7001 系列("Naples")中，这个限制为 16，在第二代 Gen AMD EPYC™ 7002 系列("Rome")时，这个限制为 255。
• 具有内存加密的实例固定 RAM 中的页面。Compute 服务无法交换这些页面，因此您无法过量使用托管内存加密的 Compute 节点上的内存。
• 您不能将内存加密用于具有多个 NUMA 节点的实例。