鲲鹏机密计算TrustZone应用容器化开发和部署指导

尊敬的鲲鹏开发者你好，鲲鹏机密计算TrustZone套件是基于ARM TrustZone技术的一个机密计算软件套件，旨在帮助伙伴更便捷地为行业客户构建机密计算解决方案，从而为客户的关键数据提供完整性、机密性保护和可信使用。您可以阅读本篇内容进行鲲鹏机密计算TrustZone套件的快速入门。

本章节主要介绍了以下知识：

（1）了解鲲鹏机密计算TrustZone套件概念

（2） 如何安装和使用机密计算TrustZone套件

（3）容器化场景下如何部署、运行高级语言应用程序至TEE安全侧

基础技能：

（1）具备基础的Python/Java语言编程能力

（2）了解常用的Linux操作命令

什么是鲲鹏机密计算TrustZone套件

1. 什么是机密计算
   在国际机密计算联盟CCC中，将机密计算定义为：“通过在基于硬件的可信执行环境中执行计算来保护使用中的数据的一种技术”，并将机密计算与隐私增强计算（基于算法协议）作为两类技术。

国内金融行业，各大银行发布的技术白皮书中，则将所有保证数据机密性的可能的技术都归为“隐私计算”的范畴。当前国内对于“机密计算”的具体的定义和划分，还没有普识性的共识，但我们仍然可以将其理解为基于硬件可信执行环境（Trusted Execution Environment, TEE）的数据保护技术。

2. 鲲鹏机密计算TrustZone套件概述
   鲲鹏机密计算是基于TrustZone技术的TEE方案，TrustZone是一种基于ARM标准架构进行的安全扩展，新引入了一个额外的可信执行环境即TEE，而原有的执行环境相对于TEE则被称为REE（Rich Execution Environment）。这两个环境从芯片架构上进行了隔离，确保运行在TEE内的应用的安全可信，解决用户的“数据在使用中”的安全问题。

鲲鹏机密计算套件中的核心组件“可信操作系统”（Trusted OS）采用的是华为自研的iTrustee，它的主要特点包括：

（1）稳定可靠：基于华为自研的微内核安全OS，已在手机侧商用近10年，支持过亿级用户。

（2）权威第三方认证：获得CC EAL4+认证。

（3）规格灵活：TEE侧安全内存支持按需配置，最大可配128G。

相对于“隐私计算”其它技术而言，部署在TEE内计算可免去复杂的算法协议，可大大提升机密数据的处理效率。尤其适合需要处理大量机密数据的业务场景，比如：

（1）金融大数据数据挖掘，保证数据处理过程中的机密性。

（2）一体化大数据中心数据可信流通和交易。

（3）联邦计算场景中的模型和参数的迭代计算。

利用它高特权级别和隔离性，也适用于实现TPM（Trusted Platform Module）、硬件密码机等场景。

鲲鹏机密计算套件是基于TrustZone技术，结合鲲鹏产品定位，与芯片深