5.6. 配置 AMD SEV Compute 节点，为实例提供内存加密

流程

1. 以 stack 用户的身份登录 undercloud。

2. Source stackrc 文件：

   [stack@director ~]$ source ~/stackrc

3. 生成包含 ComputeAMDSEV 角色的新角色数据文件，以及 overcloud 所需的任何其他角色。以下示例生成角色数据文件 roles_data_amd_sev.yaml，其中包括角色 Controller 和 ComputeAMDSEV ：

   (undercloud)$ openstack overcloud roles \
    generate -o /home/stack/templates/roles_data_amd_sev.yaml \
    Compute:ComputeAMDSEV Controller

4. Open roles_data_amd_sev.yaml 并编辑或添加以下参数和部分：

   section/Parameter	当前值	新值
   role 注释	Role: Compute	Role: ComputeAMDSEV
   角色名称	Name: Compute	名称 ：ComputeAMDSEV
   description	基本 Compute 节点角色	AMD SEV Compute 节点角色
   HostnameFormatDefault	%stackname%-novacompute-%index%	%stackname%-novacomputeamdsev-%index%
   deprecated_nic_config_name	compute.yaml	compute-amd-sev.yaml

5. 将 overcloud 的 AMD SEV Compute 节点添加到节点定义模板中，注册它们： node.json 或 node.yaml。有关更多信息，请参阅 安装和管理 Red Hat OpenStack Platform 指南中的 为 overcloud 注册节点。

6. 检查节点硬件：

   (undercloud)$ openstack overcloud node introspect \
    --all-manageable --provide

   如需更多信息，请参阅 安装和管理 Red Hat OpenStack Platform 指南中的创建 裸机节点硬件清单。

7. 使用自定义 AMD SEV 资源类标记您要为内存加密指定的每个裸机节点：

   (undercloud)$ openstack baremetal node set \
    --resource-class baremetal.AMD-SEV <node>

   将 <node > 替换为裸机节点的名称或 ID。

8. 将 ComputeAMDSEV 角色添加到您的节点定义文件 overcloud-baremetal-deploy.yaml 中，并定义您要分配给节点的任何预先节点放置、资源类、网络拓扑或其他属性：

   - name: Controller
     count: 3
   - name: Compute
     count: 3
   - name: ComputeAMDSEV
     count: 1
     defaults:
       resource_class: baremetal.AMD-SEV
       network_config:
         template: /home/stack/templates/nic-config/myRoleTopology.j2 1

   1

   您可以重复使用现有网络拓扑，或为角色创建新的自定义网络接口模板。如需更多信息，请参阅使用 director 安装和管理 Red Hat OpenStack Platform 指南中的 自定义网络接口模板。如果您没有使用 network_config 属性定义网络定义，则使用默认网络定义。

   有关您可以在节点定义文件中配置节点属性的属性的更多信息，请参阅 裸机节点置备属性。有关节点定义文件的示例，请参阅 节点定义文件 示例。

9. 运行 provisioning 命令为您的角色置备新节点：

   (undercloud)$ openstack overcloud node provision \
   --stack <stack> \
   [--network-config \]
   --output /home/stack/templates/overcloud-baremetal-deployed.yaml \
   /home/stack/templates/overcloud-baremetal-deploy.yaml

   • 将 & lt;stack> 替换为置备裸机节点的堆栈名称。如果未指定，则默认为 overcloud。
   • 包含 --network-config 可选参数，为 cli-overcloud-node-network-config.yaml Ansible playbook 提供网络定义。如果您没有使用 network_config 属性定义网络定义，则使用默认网络定义。

10. 在一个单独的终端中监控置备进度。当置备成功时，节点状态将从 available 变为 active ：

    (undercloud)$ watch openstack baremetal node list

11. 如果您没有使用 --network-config 选项运行 provisioning 命令，请在 network-environment.yaml 文件中配置 <Role>NetworkConfigTemplate 参数以指向 NIC 模板文件：

    parameter_defaults:
       ComputeNetworkConfigTemplate: /home/stack/templates/nic-configs/compute.j2
       ComputeAMDSEVNetworkConfigTemplate: /home/stack/templates/nic-configs/<amd_sev_net_top>.j2
       ControllerNetworkConfigTemplate: /home/stack/templates/nic-configs/controller.j2

    将 < amd_sev_net_top > 替换为包含 Compute AMDSEV 角色的网络拓扑的文件的名称，如 compute.yaml 以使用默认网络拓扑。

流程

1. 打开 Compute 环境文件。

2. 可选：在 Compute 环境文件中添加以下配置，以指定 AMD SEV Compute 节点可同时托管的最大内存加密实例数：

   parameter_defaults:
     ComputeAMDSEVExtraConfig:
       nova::config::nova_config:
         libvirt/num_memory_encrypted_guests:
           value: 15

   注意

   libvirt/num_memory_encrypted_guests 参数的默认值为 none。如果您没有设置自定义值，AMD SEV Compute 节点不会对节点可以同时托管的内存加密实例数量施加限制。相反，硬件决定了 AMD SEV Compute 节点可以同时托管的最大内存加密实例数，这可能会导致一些内存加密实例无法启动。

3. 可选： 要指定所有 x86_64 镜像默认使用 q35 机器类型，请在 Compute 环境文件中添加以下配置：

   parameter_defaults:
     ComputeAMDSEVParameters:
       NovaHWMachineType: x86_64=q35

   如果指定了此参数值，则不需要在每个 AMD SEV 实例镜像上设置 hw_machine_type 属性设置为 q35。

4. 为确保 AMD SEV Compute 节点为主机级服务保留足够的内存才能正常工作，请为每个潜在的 AMD SEV 实例添加 16MB：

   parameter_defaults:
     ComputeAMDSEVParameters:
       ...
       NovaReservedHostMemory: <libvirt/num_memory_encrypted_guests * 16>

5. 为 AMD SEV Compute 节点配置内核参数：

   parameter_defaults:
     ComputeAMDSEVParameters:
       ...
       KernelArgs: "hugepagesz=1GB hugepages=32 default_hugepagesz=1GB mem_encrypt=on kvm_amd.sev=1"

   注意

   当您首先将 KernelArgs 参数添加到角色的配置中时，overcloud 节点会自动重启。如果需要，您可以禁用自动重新引导节点，并在每个 overcloud 部署后手动重启节点。如需更多信息，请参阅配置手动节点重新引导以定义 KernelArgs。

6. 保存对 Compute 环境文件的更新。

7. 使用其他环境文件将计算环境文件添加到堆栈中，并部署 overcloud：

   (undercloud)$ openstack overcloud deploy --templates \
    -e [your environment files] \
    -r /home/stack/templates/roles_data_amd_sev.yaml \
    -e /home/stack/templates/network-environment.yaml \
    -e /home/stack/templates/<compute_environment_file>.yaml \
    -e /home/stack/templates/overcloud-baremetal-deployed.yaml \
    -e /home/stack/templates/node-info.yaml

流程

1. 为内存加密创建新镜像：

   (overcloud)$ openstack image create ...  \
    --property hw_firmware_type=uefi amd-sev-image

   注意

   如果使用现有镜像，镜像必须将 hw_firmware_type 属性设置为 uefi。

2. 可选：在镜像中添加 property hw_mem_encryption=True，以便在镜像上启用 AMD SEV 内存加密：

   (overcloud)$ openstack image set  \
    --property hw_mem_encryption=True amd-sev-image

   提示

   您可以在类别上启用内存加密。如需更多信息，请参阅为内存加密创建类别。

3. 可选：如果尚未在 Compute 节点配置中设置，请将机器类型设置为 q35 ：

   (overcloud)$ openstack image set  \
    --property hw_machine_type=q35 amd-sev-image

4. 可选： 要在支持 SEV 的主机聚合中调度内存加密实例，请在镜像额外规格中添加以下特征：

   (overcloud)$ openstack image set  \
    --property trait:HW_CPU_X86_AMD_SEV=required amd-sev-image

   提示

   您还可以在类别中指定此特征。如需更多信息，请参阅为内存加密创建类别。

流程

1. 为内存加密创建类别：

   (overcloud)$ openstack flavor create --vcpus 1 --ram 512 --disk 2  \
    --property hw:mem_encryption=True m1.small-amd-sev

2. 要在支持 SEV 的主机聚合上调度内存加密实例，请将以下特征添加到类别额外规格中：

   (overcloud)$ openstack flavor set  \
    --property trait:HW_CPU_X86_AMD_SEV=required m1.small-amd-sev

流程

1. 使用 AMD SEV 类别或镜像创建实例。以下示例使用在为内存加密创建类别时创建的类别，以及在创建用于内存加密的镜像的镜像来创建实例：

   (overcloud)$ openstack server create --flavor m1.small-amd-sev \
    --image amd-sev-image amd-sev-instance

2. 以云用户身份登录实例。

3. 要验证实例是否使用内存加密，请在实例中输入以下命令：

   $ dmesg | grep -i sev
   AMD Secure Encrypted Virtualization (SEV) active