你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

受信任的计算基础

可信计算基 (TCB) 指提供安全环境的系统所有硬件、固件和软件组件。 TCB 内的组件被视为“关键”组件。如果 TCB 内部有一个组件存在风险，则可能危及整个系统的安全性。 更低的 TCB 意味着更高的安全性。 受各种漏洞、恶意软件、攻击和恶意用户的影响的风险更小。

下图显示了什么是“in”，什么是“外部”的受信任计算基础。 客户操作员管理的工作负载和数据位于 TCB 内部，云提供商（Microsoft Azure）管理的元素位于外部。

硬件信任根

信任根是受信任的硬件，通过生成加密证明（验证）客户工作负荷是否使用机密计算。

CC 工作负荷 （TCB）

封装在受信任执行环境（T企业版）中的客户工作负荷包括完全受客户控制并信任的解决方案的各个部分。 机密计算工作负荷对使用加密的 TCB 外部的所有内容都不透明。

主机 OS、虚拟机监控程序、BIOS、设备驱动程序

这些元素无法查看 TCB 中的工作负荷，因为它已加密。 主机 OS、BIOS 等由云提供商控制，客户无法访问。

将 TCB 映射到不同的受信任执行环境（T企业版）

根据正在使用的机密计算技术，TCB 可能会有所不同，以满足不同客户需求的保密性和易于采用。

例如，Intel SGX 提供最精细的 TCB 定义，但要求使用特定 API 编写应用程序以使用机密功能。

使用 AMD 标准版V-SNP 的机密虚拟机（CVM）技术（以及将来的 Intel TDX）技术可以在 T 中运行整个虚拟机企业版以支持现有工作负载的直接迁移方案，在本例中，来宾 OS 也在 TCB 内部。