你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。
使用受信任的执行环境（TEE）时，可以在安全的环境中保护代码和数据。
什么是 TEE？
可信执行环境是内存和 CPU 中一个通过加密技术与 CPU 其他部分隔离并保护的区域。 环境外部的任何代码都无法读取或篡改 TEE 中的数据。 授权代码可以操作 TEE 中的数据。
在 TEE 内部执行的代码是以明文形式处理的，只有当外界尝试访问时才会以加密形式显示。 CPU芯片中嵌入的平台安全处理器管理该保护。
Azure 机密计算有两个产品：一个用于重新托管工作负载，一个用于自定义开发应用程序的基于封闭环境的工作负载。
重新托管产品/服务使用 AMD SEV-SNP（正式发布） 或 Intel 信任域扩展（TDX）（预览版） 来加密 VM 的整个内存。 客户可以将现有工作负载迁移到 Azure 机密计算，而无需进行任何代码更改或性能降低。 此产品/服务支持虚拟机（VM）和容器工作负荷。
基于 enclave 的产品/服务提供 CPU 功能，允许客户代码使用 Intel Software Guard Extensions （SGX） 在 VM 中创建名为“加密保护缓存”的受保护内存区域。 客户可以使用强大的数据保护和隐私保证运行敏感工作负载。 Azure 机密计算在 2020 年引入了第一款基于 enclave 的产品/服务。 需要专门开发客户应用程序才能利用此数据保护模型。
这两种基础技术都用于在 Azure 平台中提供 机密基础结构即服务（IaaS）和平台即服务（PaaS） 云计算模型，这使得客户在解决方案中采用机密计算变得简单。
新的图形处理单元（GPU）设计也支持 TEE 功能。 可以将 GPU 与 CPU TEE 解决方案（例如 当前处于预览阶段的 NVIDIA 产品/服务）安全地组合在一起，以提供可信的 AI。
相关内容
有关如何跨不同 Azure 硬件实现 TEE 的技术信息，请参阅：