如何在阿里云g7t服务器配置SGX环境及Occlum/Graphene LibOS Python运行环境

一、确认SGX实例配置 #

阿里云g7t实例默认支持SGX，但创建时需勾选开启SGX功能，并选用Ubuntu 20.04/22.04镜像（兼容性最佳）。登录服务器后验证SGX状态：

# 检查SGX驱动设备
ls /dev/isgx
# 检查硬件支持
cpuid | grep SGX

若/dev/isgx不存在，重启实例或联系阿里云技术支持确认SGX配置生效。

二、安装SGX基础环境 #

1. 添加Intel SGX软件源 #

echo "deb [arch=amd64] https://download.01.org/intel-sgx/sgx_repo/ubuntu focal main" | sudo tee /etc/apt/sources.list.d/intel-sgx.list
wget -qO - https://download.01.org/intel-sgx/sgx_repo/ubuntu/intel-sgx-deb.key | sudo apt-key add -
sudo apt update

2. 安装SGX SDK与PSW组件 #

sudo apt install -y libsgx-enclave-common libsgx-enclave-common-dev libsgx-urts libsgx-epid libsgx-launch libsgx-quote-ex sgx-aesm-service
# 启动并设置aesm服务开机自启
sudo systemctl start aesmd
sudo systemctl enable aesmd

验证安装：

sgx_version

三、配置Occlum运行Python #

1. 安装Occlum依赖 #

sudo apt install -y build-essential libssl-dev libprotobuf-dev protobuf-compiler libcurl4-openssl-dev libxml2-dev libgcrypt20-dev

2. 安装Occlum #

curl -fsSL https://raw.githubusercontent.com/occlum/occlum/master/scripts/install.sh | bash -
source /opt/occlum/env.sh

3. 搭建Python Occlum环境 #

• 创建实例目录并初始化：

  mkdir occlum_python && cd occlum_python
  occlum init
  

• 复制系统Python到Occlum镜像（以Python3.8为例）：

  # 复制Python二进制文件
  cp /usr/bin/python3.8 image/bin/
  # 复制Python核心库
  cp -r /usr/lib/python3.8 image/lib/
  cp /usr/lib/x86_64-linux-gnu/libpython3.8.so.1.0 image/lib/
  # 补充依赖库（通过ldd /usr/bin/python3.8查看缺失库并复制）
  

• 构建Occlum镜像：

  occlum build
  

4. 运行Python脚本 #

将你的脚本（如test.py）复制到当前目录，执行：

occlum run /bin/python3.8 test.py

若使用第三方Python库，需将库文件复制到image/lib/python3.8/site-packages/目录后重新构建镜像。

四、配置Graphene运行Python #

1. 安装Graphene依赖 #

sudo apt install -y build-essential autoconf gawk bison python3-protobuf libprotobuf-c-dev libssl-dev libcurl4-openssl-dev libxml2-dev

2. 编译安装Graphene（SGX模式） #

git clone https://github.com/oscarlab/graphene.git
cd graphene
git submodule update --init
make SGX=1
sudo make install

3. 准备Python配置文件 #

创建python.manifest文件（适配Python3.8）：

loader.preload = "/lib/x86_64-linux-gnu/libpython3.8.so.1.0"
loader.exec = "/usr/bin/python3.8"
loader.env.LD_LIBRARY_PATH = "/lib/x86_64-linux-gnu:/usr/lib/x86_64-linux-gnu"
sgx.enclave_size = "256M"
sgx.heap_size = "128M"
sgx.stack_size = "4M"

生成SGX签名文件：

graphene-sgx-sign --manifest python.manifest --output python.manifest.sgx --key Pal/src/host/Linux/sgx/signing_key.pem

4. 运行Python脚本 #

执行：

graphene-sgx python.manifest.sgx test.py

若依赖第三方库，需在manifest中添加库路径或确保库在系统默认路径下。

关键注意事项 #

• 确保实例内存充足，SGX enclave内存需单独预留（可通过Occlum的occlum.json或Graphene的manifest调整）
• 部分Python库可能因依赖未授权系统调用无法在LibOS中运行，需提前测试
• 将当前用户加入sgx_group组以避免权限问题：sudo usermod -aG sgx_group $USER

内容的提问来源于stack exchange，提问作者Kikyou5473