tee-gp-proxy开发者指南：如何扩展API接口与自定义认证中间件

【免费下载链接】tee-gp-proxyThis project aims to provide an implementation for RPC invoking TEE to facilitate the use of Kunpeng confidential computing in cloud scennarios.项目地址: https://gitcode.com/openeuler/tee-gp-proxy

前往项目官网免费下载：https://ar.openeuler.org/ar/

🚀快速掌握鲲鹏机密计算的TEE代理扩展技巧！

tee-gp-proxy是一个专为鲲鹏机密计算设计的开源项目，它通过RPC调用方式实现了TrustZone可信执行环境的远程访问能力。无论你是云原生开发者还是安全架构师，掌握如何扩展tee-gp-proxy的API接口和自定义认证中间件，都能让你在云环境中更灵活地部署和管理机密计算资源。本文将为你提供完整的扩展指南！✨

📋 项目架构概述

tee-gp-proxy采用gRPC作为核心通信框架，构建了一个完整的TEE资源池化方案。项目主要包括以下几个关键组件：

• GP Client：部署在云端的客户端库，负责序列化CA的GP接口调用
• GP Proxy：运行在Host端的代理服务，接收远程调用并转发到本地TEE
• 认证中间件：基于JWT（JSON Web Token）的身份验证机制
• 配置管理系统：通过YAML配置文件管理服务参数

项目的核心架构图展示了TrustZone资源池的工作原理，客户端通过gRPC协议与代理服务通信，代理服务再将请求转发到本地的TEE环境。

🔧 API接口扩展指南

1. 理解现有的API接口

tee-gp-proxy已经实现了完整的GP API接口，包括：

• TEECC_InitializeContext：初始化TEE上下文
• TEECC_FinalizeContext：销毁TEE上下文
• TEECC_OpenSession：打开TEE会话
• TEECC_InvokeCommand：执行TEE命令
• TEECC_CloseSession：关闭TEE会话
• TEECC_SetJwt：设置JWT令牌
• TEECC_LiveTransfer：实时数据传输

所有API接口都定义在cc-resource-pooling/container-mig/gpproxy_gt.proto文件中，使用Protocol Buffers进行序列化。

2. 添加新的API接口步骤

步骤1：扩展Protocol Buffers定义

在proto文件中添加新的RPC服务定义：

// 在现有的service gpp中添加新的RPC方法 service gpp { // 现有方法... rpc TEECC_NewCustomAPI(Custom_Request) returns (Custom_Reply) {} } // 定义新的请求消息 message Custom_Request { string token = 1; string taname = 2; bytes custom_data = 3; uint32 custom_param = 4; } // 定义新的响应消息 message Custom_Reply { int32 retcode = 1; bytes result_data = 2; uint32 status = 3; }

步骤2：实现服务端处理逻辑

在cc-resource-pooling/teeproxy/gpproxy/gpproxy.cc中添加新的处理函数：

1. 添加新的状态枚举：

enum ServerState { // 现有状态... SS_TEECC_NewCustomAPI = 8 // 新增状态 };

2. 实现请求处理逻辑：

case ServerImpl::CallData::SS_TEECC_NewCustomAPI: service_->RequestTEECC_NewCustomAPI(&ctx_, &custom_request, &custom_response, cq_, cq_, this); break;

3. 添加业务逻辑处理：

void ProcessCustomAPI(const Custom_Request* request, Custom_Reply* reply) { // 1. 验证JWT令牌 if (global_force_valideta_jwt == 1) { int jwt_result = dbusmethodcall_validate_jwt(request->token()); if (jwt_result != 0) { reply->set_retcode(TEEC_ERROR_JWTVALIDATE_FAIL); return; } } // 2. 处理自定义业务逻辑 // 这里可以添加你的业务处理代码 // 3. 设置返回结果 reply->set_retcode(TEEC_SUCCESS); reply->set_status(0); }

步骤3：更新客户端库

在cc-resource-pooling/container-mig/teecc.cc中添加对应的客户端接口：

TEEC_Result TEEC_NewCustomAPI( TEEC_Context* context, const char* taname, const void* custom_data, size_t data_size, void* result_buffer, size_t* result_size ) { // 构建请求消息 Custom_Request request; request.set_taname(taname); request.set_token(global_jwt_token); request.set_custom_data(custom_data, data_size); // 发送gRPC请求 Custom_Reply reply; grpc::Status status = stub_->TEECC_NewCustomAPI(&context, request, &reply); // 处理响应 if (status.ok() && reply.retcode() == TEEC_SUCCESS) { // 复制结果数据 memcpy(result_buffer, reply.result_data().data(), min(*result_size, reply.result_data().size())); *result_size = reply.result_data().size(); return TEEC_SUCCESS; } return TEEC_ERROR_GENERIC; }

3. 配置管理扩展

新的API接口可能需要额外的配置参数，可以在~/.gpp/gpproxy_config.yaml配置文件中添加：

# 新增自定义API配置 CUSTOM_API_CONFIG: ENABLED: true TIMEOUT_MS: 5000 MAX_RETRY_COUNT: 3 CACHE_SIZE: 100

🔐 自定义认证中间件开发

1. 理解现有的JWT认证机制

tee-gp-proxy内置了基于DBus的JWT认证中间件，主要包含以下组件：

• JWT获取接口：dbusmethodcall_fetch_jwt()- 从认证服务获取JWT令牌
• JWT验证接口：dbusmethodcall_validate_jwt()- 验证JWT令牌有效性
• 配置开关：FORCE_VALIDATE_JWT- 控制是否强制验证JWT

2. 实现自定义认证中间件

步骤1：创建认证接口

在cc-resource-pooling/demo/dbusjwt/目录下创建新的认证模块：

// custom_auth.h #ifndef _CUSTOM_AUTH_H #define _CUSTOM_AUTH_H #include <stdint.h> typedef enum { AUTH_SUCCESS = 0, AUTH_FAILED = -1, AUTH_EXPIRED = -2, AUTH_INVALID = -3 } AuthResult; // 认证初始化 AuthResult custom_auth_init(const char* config_path); // 验证令牌 AuthResult custom_auth_validate(const char* token, const char* resource); // 获取新令牌 char* custom_auth_get_token(const char* identity); // 清理资源 void custom_auth_cleanup(); #endif // _CUSTOM_AUTH_H

步骤2：实现认证逻辑

// custom_auth.c #include "custom_auth.h" #include <string.h> #include <stdlib.h> #include <time.h> // 示例：基于时间的简单令牌验证 AuthResult custom_auth_validate(const char* token, const char* resource) { if (!token || !resource) { return AUTH_INVALID; } // 解析令牌格式：timestamp:identity:signature char* token_copy = strdup(token); char* timestamp_str = strtok(token_copy, ":"); char* identity = strtok(NULL, ":"); char* signature = strtok(NULL, ":"); if (!timestamp_str || !identity || !signature) { free(token_copy); return AUTH_INVALID; } // 检查时间戳是否过期（示例：30秒有效期） time_t current_time = time(NULL); time_t token_time = atol(timestamp_str); if (current_time - token_time > 30) { free(token_copy); return AUTH_EXPIRED; } // 验证签名（示例实现） char expected_signature[256]; snprintf(expected_signature, sizeof(expected_signature), "%s:%s:secret_key", timestamp_str, identity); // 实际应用中应该使用HMAC等加密算法 if (strcmp(signature, "valid_signature") != 0) { free(token_copy); return AUTH_FAILED; } free(token_copy); return AUTH_SUCCESS; }

步骤3：集成到gpproxy

修改cc-resource-pooling/teeproxy/gpproxy/gpproxy.cc中的认证逻辑：

// 替换原有的JWT验证逻辑 int ivaljwtResult = -1; int iforceValidateJwt = global_force_valideta_jwt; if (iforceValidateJwt == 1 && token.compare(noToken) != 0) { // 使用自定义认证中间件 AuthResult auth_result = custom_auth_validate(token.c_str(), request->taname().c_str()); if (auth_result != AUTH_SUCCESS) { reply->set_flag(2); // 认证失败标志 reply->set_teecresult(TEEC_ERROR_AUTH_FAILED); return; } ivaljwtResult = 0; // 认证成功 }

3. 支持多种认证方式

你可以实现一个认证工厂模式，支持多种认证机制：

// auth_factory.h typedef enum { AUTH_TYPE_JWT = 0, AUTH_TYPE_OAUTH2 = 1, AUTH_TYPE_API_KEY = 2, AUTH_TYPE_CUSTOM = 3 } AuthType; typedef struct { AuthType type; union { JWTValidator* jwt_validator; OAuth2Validator* oauth2_validator; APIKeyValidator* api_key_validator; CustomValidator* custom_validator; }; } AuthValidator; // 创建认证验证器 AuthValidator* create_auth_validator(AuthType type, const char* config); // 验证令牌 int validate_token(AuthValidator* validator, const char* token, const char* resource);

🛠️ 实战示例：扩展监控API

让我们通过一个具体的示例来演示如何扩展API接口 - 添加一个监控API来获取系统状态。

1. 定义监控API的Protocol Buffers

// 在gpproxy_gt.proto中添加 message Monitor_Request { string token = 1; string taname = 2; MonitorType type = 3; // 监控类型 } enum MonitorType { MONITOR_CPU = 0; MONITOR_MEMORY = 1; MONITOR_NETWORK = 2; MONITOR_SESSION = 3; } message Monitor_Reply { int32 retcode = 1; MonitorData data = 2; } message MonitorData { double cpu_usage = 1; uint64 memory_used = 2; uint64 memory_total = 3; uint32 active_sessions = 4; uint32 total_workers = 5; repeated SessionInfo sessions = 6; } message SessionInfo { uint32 session_id = 1; uint64 create_time = 2; uint64 last_access = 3; string client_ip = 4; }

2. 实现监控API服务端

// 在gpproxy.cc中添加监控处理 case ServerImpl::CallData::SS_TEECC_Monitor: service_->RequestTEECC_Monitor(&ctx_, &monitor_request, &monitor_response, cq_, cq_, this); break; // 实现监控逻辑 void ProcessMonitorRequest(const Monitor_Request* request, Monitor_Reply* reply) { // 认证检查 if (!ValidateToken(request->token())) { reply->set_retcode(TEEC_ERROR_AUTH_FAILED); return; } MonitorData* data = reply->mutable_data(); // 收集系统监控数据 >TEEC_Result TEEC_GetMonitorInfo( TEEC_Context* context, MonitorType type, MonitorData* data ) { Monitor_Request request; request.set_token(global_jwt_token); request.set_type(type); Monitor_Reply reply; grpc::Status status = stub_->TEECC_Monitor(&context, request, &reply); if (status.ok() && reply.retcode() == TEEC_SUCCESS) { *data = reply.data(); return TEEC_SUCCESS; } return TEEC_ERROR_GENERIC; }

⚙️ 配置与部署

1. 配置文件详解

tee-gp-proxy的主要配置文件位于~/.gpp/gpproxy_config.yaml：

# gRPC服务配置 GPPROXY_ADDRESS: "0.0.0.0:50051" GRPC_TLS: 1 # 启用TLS加密 # 证书配置 NAME_SERVER_CERT: "server.crt" NAME_SERVER_KEY: "server.key" NAME_CLIENTCA_CERT: "client_ca.crt" # 认证配置 FORCE_VALIDATE_JWT: 1 # 强制JWT验证 # 资源池配置 MAX_NUM_THREAD: 100 # 最大线程数 MAX_NUM_WORKER: 50 # 最大工作线程数 TIMEDOUT_SESSION: 300 # 会话超时时间(秒) TIMEDOUT_CONTEXT: 600 # 上下文超时时间(秒) # 自定义扩展配置 CUSTOM_AUTH_TYPE: "jwt" # jwt, oauth2, apikey, custom AUTH_SERVICE_URL: "http://localhost:8080/auth" API_RATE_LIMIT: 1000 # API调用频率限制

2. 编译与构建

扩展后的项目需要重新编译：

# 进入项目目录 cd cc-resource-pooling/teeproxy/ # 创建构建目录 mkdir build && cd build # 配置CMake cmake .. -DCMAKE_BUILD_TYPE=Release # 编译 make -j$(nproc) # 安装 sudo make install

3. 启动服务

# 配置环境变量 export GPPROXY_CONFIG=~/.gpp/gpproxy_config.yaml # 启动gpproxy服务 ./gpproxy

🔍 调试与测试

1. 日志配置

tee-gp-proxy使用标准输出记录日志，你可以通过以下方式增强日志功能：

// 在gpproxy.cc中添加详细的日志记录 #define LOG_DEBUG(fmt, ...) \ if (global_debug_mode) \ fprintf(stderr, "[DEBUG] " fmt "\n", ##__VA_ARGS__) #define LOG_INFO(fmt, ...) \ fprintf(stderr, "[INFO] " fmt "\n", ##__VA_ARGS__) #define LOG_ERROR(fmt, ...) \ fprintf(stderr, "[ERROR] " fmt "\n", ##__VA_ARGS__) // 在认证过程中添加日志 LOG_INFO("开始验证JWT令牌，资源: %s", resource); AuthResult result = custom_auth_validate(token, resource); if (result != AUTH_SUCCESS) { LOG_ERROR("认证失败: %d, 令牌: %s", result, token); }

2. 单元测试

为自定义API和认证中间件编写测试：

// test_custom_auth.c #include "custom_auth.h" #include <assert.h> void test_custom_auth_validation() { // 测试有效令牌 const char* valid_token = "1234567890:user123:valid_signature"; AuthResult result = custom_auth_validate(valid_token, "test_resource"); assert(result == AUTH_SUCCESS); // 测试过期令牌 const char* expired_token = "1000000000:user123:valid_signature"; result = custom_auth_validate(expired_token, "test_resource"); assert(result == AUTH_EXPIRED); // 测试无效令牌 const char* invalid_token = "invalid_token_format"; result = custom_auth_validate(invalid_token, "test_resource"); assert(result == AUTH_INVALID); printf("所有认证测试通过！\n"); } int main() { test_custom_auth_validation(); return 0; }

3. 性能测试

使用压力测试工具验证扩展API的性能：

# 使用ghz进行gRPC性能测试 ghz --insecure \ --proto ./cc-resource-pooling/container-mig/gpproxy_gt.proto \ --call gt.gpp.TEECC_NewCustomAPI \ -d '{"token":"test_token","taname":"test_ta"}' \ -n 10000 \ -c 50 \ 0.0.0.0:50051

🚀 最佳实践建议

1. 安全性考虑

• 始终启用TLS加密：在生产环境中必须启用GRPC_TLS配置
• 实施速率限制：防止API被滥用
• 定期轮换密钥：JWT签名密钥应该定期更换
• 审计日志记录：记录所有认证尝试和API调用

2. 性能优化

• 连接池管理：重用gRPC连接以减少开销
• 异步处理：对于耗时操作使用异步API
• 缓存机制：缓存频繁访问的认证结果
• 资源限制：合理配置MAX_NUM_THREAD和MAX_NUM_WORKER

3. 可扩展性设计

• 插件化架构：将认证中间件设计为可插拔组件
• 配置驱动：通过配置文件控制功能开关
• 版本兼容：保持向后兼容的API设计
• 监控集成：与现有的监控系统集成

📚 相关资源

• 官方文档：cc-resource-pooling/docs/
• API定义文件：cc-resource-pooling/container-mig/gpproxy_gt.proto
• 核心实现：cc-resource-pooling/teeproxy/gpproxy/gpproxy.cc
• 认证模块：cc-resource-pooling/demo/dbusjwt/dbusc_jwt.c
• 客户端库：cc-resource-pooling/container-mig/teecc.cc

🎯 总结

通过本文的指南，你已经掌握了tee-gp-proxy项目的API扩展和自定义认证中间件开发的核心技能。无论是添加新的业务API，还是实现更复杂的认证机制，都可以基于现有的架构进行扩展。记住，安全性和性能是机密计算系统的关键考量因素，在扩展功能时务必进行充分的测试和验证。

现在就开始动手实践，为你的鲲鹏机密计算应用构建更强大、更安全的TEE代理服务吧！💪

提示：在实际部署前，建议先在测试环境中验证所有扩展功能，确保与现有系统的兼容性和稳定性。

【免费下载链接】tee-gp-proxyThis project aims to provide an implementation for RPC invoking TEE to facilitate the use of Kunpeng confidential computing in cloud scennarios.项目地址: https://gitcode.com/openeuler/tee-gp-proxy