實作 pKVM 供應商模組

本頁說明如何實作受保護的以核心為基礎的虛擬機器 (pKVM) 供應商模組。

如果是 android16-6.12 以上版本，完成這些步驟後，您應該會有類似下列的目錄樹：

BUILD.bazel
el1.c
hyp/
    BUILD.bazel
    el2.c

如需完整範例，請參閱「使用 DDK 建構 pKVM 模組」。

適用於 android15-6.6 以下版本：

Makefile
el1.c
hyp/
    Makefile
    el2.c

1. 新增 EL2 Hypervisor 程式碼 (el2.c)。這段程式碼至少須宣告接受 pkvm_module_ops 結構體參照的 init 函式：

   #include <asm/kvm_pkvm_module.h>
   
   int pkvm_driver_hyp_init(const struct pkvm_module_ops *ops)
   {
     /* Init the EL2 code */
   
     return 0;
   }
   

   pKVM 供應商模組 API 是封裝回呼的結構體，可回呼至 pKVM 管理程序。這個結構體遵循與 GKI 介面相同的 ABI 規則。

2. 建立 hyp/Makefile，以建構管理程序程式碼：

   hyp-obj-y := el2.o
   include $(srctree)/arch/arm64/kvm/hyp/nvhe/Makefile.module
   

3. 新增 EL1 核心程式碼 (el1.c)。這個程式碼的 init 區段必須包含對 pkvm_load_el2 module 的呼叫，才能載入步驟 1 中的 EL2 Hypervisor 程式碼。

   #include <linux/init.h>
   #include <linux/module.h>
   #include <linux/kernel.h>
   #include <asm/kvm_pkvm_module.h>
   
   int __kvm_nvhe_pkvm_driver_hyp_init(const struct pkvm_module_ops *ops);
   
   static int __init pkvm_driver_init(void)
   {
       unsigned long token;
   
       return pkvm_load_el2_module(__kvm_nvhe_pkvm_driver_hyp_init, &token);
   }
   module_init(pkvm_driver_init);
   

4. 最後，建立建構規則。

   如果是 Android 16-6.12 以上版本，請參閱「使用 DDK 建構 pKVM 模組」，為 EL2 建立 ddk_library()，並為 EL1 建立 ddk_module()。

   如果是 android15-6.6 和更早版本，請建立根層級的 Makefile，將 EL1 和 EL2 程式碼繫結在一起：

   ifneq ($(KERNELRELEASE),)
   clean-files := hyp/hyp.lds hyp/hyp-reloc.S
   
   obj-m := pkvm_module.o
   pkvm_module-y := el1.o hyp/kvm_nvhe.o
   
   $(PWD)/hyp/kvm_nvhe.o: FORCE
            $(Q)$(MAKE) $(build)=$(obj)/hyp $(obj)/hyp/kvm_nvhe.o
   else
   all:
           make -C $(KDIR) M=$(PWD) modules
   clean:
           make -C $(KDIR) M=$(PWD) clean
   endif
   

載入 pKVM 模組

與 GKI 供應商模組相同，pKVM 供應商模組可使用 modprobe 載入。 不過，基於安全考量，載入作業必須在解除權限前完成。 如要載入 pKVM 模組，請務必將模組納入根檔案系統 (initramfs)，並在核心指令列中新增下列項目：

kvm-arm.protected_modules=mod1,mod2,mod3,...

儲存在 initramfs 中的 pKVM 供應商模組會沿用 initramfs 的簽章和保護機制。

如果其中一個 pKVM 供應商模組無法載入，系統會視為不安全，且無法啟動受保護的虛擬機器。

從 EL1 (核心模組) 呼叫 EL2 (管理程序) 函式

管理程序呼叫 (HVC) 是一種指令，可讓核心呼叫管理程序。隨著 pKVM 供應商模組的推出，HVC 可用於從 EL1 (核心模組) 呼叫函式，在 EL2 (管理程序模組) 執行：

1. 在 EL2 程式碼 (el2.c) 中，宣告 EL2 處理常式：

Android-14

  void pkvm_driver_hyp_hvc(struct kvm_cpu_context *ctx)
  {
    /* Handle the call */

    cpu_reg(ctx, 1) = 0;
  }

Android-15

  void pkvm_driver_hyp_hvc(struct user_pt_regs *regs)
  {
    /* Handle the call */

    regs->regs[0] = SMCCC_RET_SUCCESS;
    regs->regs[1] = 0;
  }

1. 在 EL1 程式碼 (el1.c) 中，於 pKVM 供應商模組中註冊 EL2 處理常式：

   int __kvm_nvhe_pkvm_driver_hyp_init(const struct pkvm_module_ops *ops);
   void __kvm_nvhe_pkvm_driver_hyp_hvc(struct kvm_cpu_context *ctx); // Android14
   void __kvm_nvhe_pkvm_driver_hyp_hvc(struct user_pt_regs *regs);   // Android15
   
   static int hvc_number;
   
   static int __init pkvm_driver_init(void)
   {
     long token;
     int ret;
   
     ret = pkvm_load_el2_module(__kvm_nvhe_pkvm_driver_hyp_init,token);
     if (ret)
       return ret;
   
     ret = pkvm_register_el2_mod_call(__kvm_nvhe_pkvm_driver_hyp_hvc, token)
     if (ret < 0)
       return ret;
   
     hvc_number = ret;
   
     return 0;
   }
   module_init(pkvm_driver_init);
   

2. 在 EL1 程式碼 (el1.c) 中，呼叫 HVC：

   pkvm_el2_mod_call(hvc_number);