说明

安装部署 Intel PCCS 及其他软件，在 Intel CPU 的机器上部署 Intel SGX 所需的软件。

参考资料

Intel 可信计算文档：https://cc-enabling.trustedservices.intel.com/ Intel API 文档：https://api.portal.trustedservices.intel.com/content/documentation.html GitHub 下载加速：https://gh-proxy.com/ 安装 Intel 开发环境教程：https://cc-enabling.trustedservices.intel.com/intel-sgx-sw-installation-guide-linux//introduction/ 容器镜像加速这方面，https://1ms.run/

准备服务器

痛点：CPU、BIOS、BMC 版本不一致导致 SGX 无法识别。说起来，

• CPU 必须为 Intel。且支持 SGX，
• BIOS 与 BMC 必须更新到当前版本。
• 推荐使用 Ubuntu 22.04 及以上。
• 服务器需要能够访问外网，特别是 Intel 官网和 GitHub。其实，

配置 BIOS

痛点：部分厂商的 BIOS 默认关闭 SGX。或只开启“部分”模式，导致后续软件无法启动。按理说，

请参考服务器厂商的配置说明书。至于一般需要，

• 打开所有与 SGX 相关的开关。
• 选择 “完整重置 SGX 配置”。话说回来，
• 保存并重启主机。

安装操作程序

痛点：在未重装程序的情况下修改 BIOS 配置不会生效，导致 SGX 状态仍然不可用。

按照标准流程全新安装 Ubuntu 22.04，推荐使用官方 ISO 镜像。完成后 确认 BIOS 配置已生效。

检查程序时间

痛点：程序时间偏差会导致向 Intel 获取证书失败，报错 “certificate verification failed”。

timedatectl set-ntp false
timedatectl set-timezone Asia/Shanghai
vim /etc/systemd/timesyncd.conf
# 添加或修改如下内容
NTP=ntp.aliyun.com ntp1.aliyun.com ntp.tencent.com
FallbackNTP=ntp.ubuntu.com
RootDistanceMaxSec=5
PollIntervalMinSec=32
PollIntervalMaxSec=2048
systemctl daemon-reload
systemctl restart systemd-timesyncd
timedatectl set-ntp true
hwclock --systohc
# 检查时间同步状态
timedatectl status

确认 SGX 可用

痛点：PCCS 启动后提示 “SGX not detected”，往往是硬件未开启或驱动缺失。

apt update && apt install -y cpuid
ls /dev | grep sgx # 若无输出则可能未开启 SGX
cpuid | grep -i sgx # 检查 CPU 是否支持 SGX
dmesg | grep -i sgx # 查看内核日志中是否有 SGX 信息

配置 Intel 订阅

痛点：Email 丢失或忘记 API Key 导致后续认证失败，需要重新注册。

注册并获取密钥

在浏览器访问，使用长期有效的邮箱注册并登录。老实说，获取的 ApiKey 请妥善保存。

安装运行环境依赖包

apt update && apt install -y \
lib-runtime build-essential python3 libssl-dev libcurl4-openssl-dev \
libprotobuf-dev curl python-is-python3 wget debhelper zip pkgconf \
libboost-dev libboost-system-dev libboost-thread-dev protobuf-c-compiler \
libprotobuf-c-dev protobuf-compiler

配置 Intel 软件源 & 本地仓库镜像

痛点：SCC 镜像下载慢或中断，导致 apt 安装卡死。怎么说呢，

mkdir -p /opt/intel /etc/apt/keyrings
cd /opt/intel
wget https://download.intel.com/intel-sgx/sgx_repo/ubuntu/intel-sgx-deb.key -O intel-sgx-deb.key
cat intel-sgx-deb.key | sudo tee /etc/apt/keyrings/intel-sgx-keyring.asc> /dev/null
# 根据实际程序选择对应的本地仓库压缩包
wget https://download.intel.com/intel-sgx/latest/dcap-latest/linux/distro/ubuntu22-server/sgx_debian_local_repo.tgz
tar -zxf sgx_debian_local_repo.tgz -C /opt/intel/
# 添加本地仓库到 APT 源
echo 'deb file:///opt/intel/sgx_debian_local_repo jammy main' | \
sudo tee /etc/apt/sources.list.d/intel-sgx-local.list
apt-get update

安装 Node.js

痛点：LTS 低版本 Node.js 与 PCCS 不兼容。会报 “unsupported engine”。

curl -fsSL https://deb.nodesource.com/setup_24.x | sudo -E bash -
apt install -y nodejs
# 验证版本
node --version # e.g.,v24.x.x

安装 Intel PCCS

apt install -y --no-install-recommends sgx-dcap-pccs
# 如网络不佳，可通过代理方式安装：
export http_proxy=http://proxy.example.com:3128/
export https_proxy=$http_proxy
apt install -y --no-install-recommends sgx-dcap-pccs #
尝试

备份 & 修改默认配置

cp /opt/intel/sgx-dcap-pccs/config/default.json \
/opt/intel/sgx-dcap-pccs/config/default.json.bak
vim /opt/intel/sgx-dcap-pccs/config/default.json
# 示例内容
{
"HTTPS_PORT": 443,"hosts": ".","uri": "https://api.trustedservices.intel.com/sgx/certification/v4/","ApiKey": "YOUR_API_KEY_HERE","proxy": "","RefreshSchedule": "* * * * *","UserTokenHash": "YOUR_USER_TOKEN_HASH","AdminTokenHash": "YOUR_ADMIN_TOKEN_HASH","CachingFillMode": "LAZY","OPENSSL_FIPS_MODE": false,"LogLevel": "info","DB_CONFIG": "sqlite","sqlite": {
"options": {
"dialect": "sqlite","define": { "freezeTableName": true },"logging": false,"storage": "/opt/intel/sgx-dcap-pccs/pckcache.db"
}
}
}

If you prefer MySQL,replace "DB_CONFIG" section with MySQL block and ensure DB is reachable.

systemctl restart pccs.service
systemctl status pccs.service # 确认运行正常

验证 PCCS 服务可用性

lsof -i :443 # 确认端口被监听
curl -k -G "https://localhost:443/sgx/certification/v4/rootcacrl"
# 正常返回 PEM 编码的根证书吊销列表
journalctl -u pccs.service -f # 实时看日志。排查错误信息
# 检查 SQLite 数据库是否生成并可查询：
apt install -y sqlite3
sqlite3 /opt/intel/sgx-dcap-pccs/pckcache.db ".tables"
dpkg -l | grep sgx-dcap-pccs # 确认版本>= 官方要求的最低版号

情况处理

Caution:If官方仓库代码迁移导致 apt 包失效，可手动编译最新源码：

cd /opt/intel
git clone https://github.com/intel/confidential-computing.tee.dcap.pccs.git
cd confidential-computing.tee.dcap.pccs/service
./cleanup.sh # 清理旧残留文件
./install.sh # 编译并安装最新服务二进制
./startup.sh # 开启服务
systemctl status pccs.service #
确认状态

部署 SGX SDK

# 根据程序选择对应的 SDK 包下载链接
wget https://download.intel.com/intel-sgx/latest/dcap-latest/linux/distro/ubuntu22-server/sgx_linux_x64_sdk_*.bin
chmod +x sgx_linux_x64_sdk_*.bin
./sgx_linux_x64_sdk_*.bin # 按提示输入 yes 并接受 EULA
source /root/.bashrc # 或者 source /root/sgxsdk/environment
echo 'source /root/.bashrc'>> ~/.bashrc # 永久生效
sgxsdk_version=$
echo "Installed SGX SDK: $sgxsdk_version"

部署 SGX PSW

apt‑get install -y \ libsgx-launch libsgx‑urts \ libsgx‑epid libsgx‑urts \ libsgx‑quote‑ex libsgx‑urts \ libsgx‑dcap‑ql \ libsgx‑dcap‑default‑qpl

systemctl restart aesmd.service systemctl status aesmd.service # 应显示 active

If service fails,run journalctl -u aesmd.service 查看错误日志。

部署 DCAP 开发工具链 运行测试用例验证环境  /etc /s g  x _ d e f a u l t _ q c n l . c o n f { " p c c s _ u r l ":      "https:/ //localhost :443/s g x/c e r t i f i c a t i o n/v4/","user_token":"user@","use_secure_cert" :false。"retry_times" :5,"retry_delay" :5,} EOF systemctl restart aesmd.service cd SampleCode\QuoteGenerationSample && make && ./app cd ../QuoteVerificationSample && make && ./app 成功运行后会看到类似 `Quote generated successfully` 的信息。话说回来，

---

运行 Occlum 容器测试

bash apt install --install-recommends linux-generic-hwe‐$

mkdir – p /dev  .sg x ln – sf ../ sg xenclave /dev  .sg x/enclav e ln – sf ../ sg x
provision /dev  .sg/x/provision

特权模式

docker run –it –privileged –v /dev  .sg x:/dev  .sg x occlum／occlum:latest-​ubuntu20

docker run –it –device /dev  .s gx/enclave –device /dev  .s gx/provision occlum／occlum:latest-​ubuntu20

docker exec ‑it /bin/bash cd /opt/in tle ⁠⁢⁠ ⁠ ⁠ ⁠ ⁠ ⁠       ​
 ​‍​​‍​⁣⁣‎‏
​​⁠ ​​​  ​‏‎⠀␣␣␣␣ ␣ ␣ ␣ ␣␣​​​​​​

cd ⁠⁢ ​ ⁠⁣∕ℰ𝙧\SampleCode/SampleEnclave&&make&&./app

成功输出类似 Enclave is running 的日志即证明宿主机已成功开启 SGX 功能。

---

网站注册

痛点概述

• MPA 方法易产生虚假认证，官方不再推荐。老实说，
• PCK 方法步骤繁琐且对网络依赖极高。经常因文件为空而失败，
• PCK+PCCS 方法相对最稳，但仍需确保 PCCS 正常工作且 Token 正确。

---

MPA 注册方式

bash cat /var/log/mpa_registration.log journalctl ­u mpa_registration_tool

若出现 registration succeeded 则表示 CPU 已在 Intel 后台登记。

---

PCK 手动注册方式

bash PCKIDRetrievalTool ‑f host_$.csv

csvtool col host$.csv | xxd ‑r ‑p> host$_pm.bin

curl ­i \ ­–data‐binary @host$pm.bin \ ­X POST “https://api.trustedservices.inte­l.com/sgi/regist­ration/v1/platform” \ ­H “Content-Type: application/octet-stream”

若返回 200 OK 且响应体含 success则表示登记成功；否则检查网络、API Key 与 Token 是否匹配。

---

PCK+PCCS 推荐方法

bash

PCKIDRetrievalTool ‑url https://localhost:443 \ ‑usertoken 'user@' \ ‑usesecure_cert false

curl ‑k ‑G “https://localhost:443/sgi/certifi­cation/v4/refresh” \ ­H “admin-token: admin@”

成功返回 {"status":"ok"} 表示缓存已更新，而且网站已经在 Intel 云端完成认证。

---

日志与故障排查

常用日志查看命令

bash journalctl ­u pcc s ­f # 实时监控 PCCS 日志 journalctl ­u aesmd ­f # 实时监控 AESMD 日志 tail ­f /opt/in te l ⁠​⁢⁢⁢⁢⁢ ⁢ ⁡ ⁤‌‍‎‌‌‍‏​​₁₀₁₁₁₁₁₂₂₂₂²³³³³³𒈱.log

常见错误及解决办法

症状	原因	对策
SGX not detected	BIOS 未完全开启、BIOS 老旧、CPU 不支持	更新 BIOS 至最新固件；确认所有 SGX 开关均打开；使用 rdmsr 检查寄存器
certificate verification failed	程序时间偏差、API Key 错误、网络阻塞	同步 NTP；重新生成并粘贴正确的 ApiKey 与 Token；确保能够访问 api.trustedservices.inte­l.com
aesmd service failed to start	缺少 /etc/sgx_default_qcnl.conf 或内容错误	按上文示例重新创建该文件，并确保方法与权限正确
PCCS 返回 500 Internal Server Error	数据库损坏或硬盘空间不足	删除旧数据库 并重新开启服务；其实，检查磁盘剩余空间

---

常用工具安装

bash apt install -y intel-te e-pcs-client-tool sg×–ra-service sg×–pc k-i d-retrieval-tool csvtool intel-te e-pc cs-admin-tool

这些工具可用于手工查询网站证书状态、刷新缓存还有调试注册过程。按理说，

---

---