这是本节的多页打印视图。点击此处打印.

术语对照表

Confidential Containers 文档术语中英文对照表

本文根据当前 CoCo 英文文档整理出常见的专业名称、关键术语与专有名词，便于中文文档翻译时保持用词一致。

说明：

组件名、项目名、协议名、工具名以及 RuntimeClass 名称通常保留英文。
中文列给出建议译法；对于不宜直译的项目名，采用“保留英文 + 中文解释”的方式。
该表会随着英文文档演进持续补充和调整。

核心项目与组件

English	中文建议	说明
Confidential Containers	机密容器	项目正式名称
CoCo	CoCo / 机密容器	`Confidential Containers` 的简称
Kata Containers	Kata Containers	CoCo 依赖的容器运行时项目
Kata Agent	Kata Agent / Kata 代理	运行在客户机内的代理组件
Kata Shim	Kata Shim	宿主机侧连接容器运行时与客户机的组件
PodVM	PodVM / Pod 虚拟机	承载机密工作负载的虚拟机
Peer Pods	Peer Pods	通过云 API 启动 PodVM 的部署模式
guest-components	客户机内组件	客户机内组件的集合
image-rs	镜像处理组件	客户机内镜像拉取与解包组件
ocicrypt-rs	OCI 镜像解密组件	客户机内镜像解密组件
confidential-data-hub	机密数据中心	客户机内数据与机密访问组件
CDH	机密数据中心枢纽	`confidential-data-hub` 的简称
attestation-agent	远程证明代理	客户机内远程证明客户端
AA	证明代理	`attestation-agent` 的简称
api-server-rest	API 服务代理	Pod / 客户机内 API 访问代理
cloud-api-adaptor	云 API 适配器	通过云平台接口创建 PodVM 的组件
CAA	云 API 适配器	`cloud-api-adaptor` 的简称
Trustee	Trustee	CoCo 的证明与机密管理服务栈
Key Broker Service	密钥代理服务	Trustee 中用于资源发放的服务
KBS	密钥代理服务	`Key Broker Service` 的简称
Attestation Service	远程证明服务	Trustee 中负责验证证据的服务
AS	证明服务	`Attestation Service` 的简称
Reference Value Provider Service	参考值提供服务	提供参考测量值的服务
RVPS	参考值提供服务	`Reference Value Provider Service` 的简称
CoCo operator	CoCo Operator	部署和管理 CoCo 的 Kubernetes Operator
nydus-snapshotter	Nydus 快照器	配合镜像拉取与快照管理的组件

安全、TEE 与证明术语

English	中文建议	说明
confidential computing	机密计算	总体技术范畴
Trusted Execution Environment	可信执行环境	机密计算的核心执行环境
TEE	可信执行环境	`Trusted Execution Environment` 的简称
enclave	安全飞地 / 隔离执行区	受保护的隔离执行环境
Trusted Computing Base	可信计算基	信任边界内的软硬件集合
TCB	可信计算基	`Trusted Computing Base` 的简称
Remote Attestation	远程证明	验证平台或客户机可信性的过程
attestation token	远程证明令牌	远程证明结果的令牌化表示
hardware evidence	硬件证据	由 TEE 平台提供的证据
reference values	参考值	与实际度量结果比对的基准值
verifier	验证器 / 验证者	用于校验证据的组件 / 角色
root of trust	信任根	构建信任链的基础
attestation policy	远程证明策略	判定环境是否可信的策略
resource policy	资源策略	控制 KBS 是否发放资源的策略
TCB claims	TCB 声明	从证据中提取的可信属性
trust vector	信任向量	结构化的证明结果表达
EAR	远程证明结果令牌	Trustee 文档中使用的证明结果格式术语
AR4SI	远程证明结果互操作模型	Trustee 使用的信任结果表达模型
Init-Data	初始化数据	注入客户机内的配置、策略和输入数据
sealed secrets	密封机密	保护机密数据的功能
encrypted images	加密镜像	经过加密保护的容器镜像
signed images	签名镜像	带有签名与完整性校验的镜像
memory encryption	内存加密	保护运行中数据的硬件能力
GetResource	获取资源请求	通过证明后向 KBS 获取机密资源的动作

Kubernetes 与容器术语

English	中文建议	说明
CRI	容器运行时接口	`Container Runtime Interface`
CRD	自定义资源定义	`Custom Resource Definition`
OLM	Operator 生命周期管理器	`Operator Lifecycle Manager`
Helm	Helm	Kubernetes 包管理工具
Helm Chart	Helm Chart	Helm 安装包
kubectl	kubectl	Kubernetes 命令行工具
KServe	KServe	Kubernetes 上的模型推理平台
ConfigMap	配置映射	Kubernetes 配置对象

平台、硬件与云环境

English	中文建议	说明
Intel TDX	Intel TDX	Intel Trusted Domain Extension TEE 技术
Intel SGX	Intel SGX	Intel 安全飞地技术
AMD SEV	AMD SEV	AMD 安全加密虚拟化技术
AMD SEV-ES	AMD SEV-ES	带寄存器状态保护的 SEV 扩展
AMD SEV-SNP	AMD SEV-SNP	带更强完整性保护的 AMD TEE 技术
IBM Secure Execution	IBM-SE	IBM Z 平台的机密计算能力
IBM Z	IBM Z	IBM 大型机平台
LinuxONE	LinuxONE	IBM 企业级 Linux 平台
s390x	s390x	IBM Z 使用的体系结构
ARM CCA	ARM CCA	ARM 机密计算架构
Hygon CSV	海光 CSV	海光平台机密计算技术
Hygon DCU	海光 DCU	海光硬件加速器平台
NVIDIA GPU	NVIDIA GPU	英伟达GPU 机密计算相关平台
Hopper	Hopper	NVIDIA GPU 架构代号
Blackwell	Blackwell	NVIDIA GPU 架构代号
Protected PCIe	受保护的 PCIe	英伟达 Hopper 一代多GPU互联总线保护技术
vTPM	虚拟 TPM	虚拟化可信平台模块
AWS	亚马逊云	云平台
Azure	微软云	云平台
GCP	Google Cloud	云平台
Alibaba Cloud	阿里云	云平台
OpenShift	OpenShift	企业级 Kubernetes 发行版
LibVirt	LibVirt	本地虚拟化测试场景中使用的平台

标准、协议与工具

English	中文建议	说明
OCI	OCI 开放容器规范	容器镜像与运行时相关规范
OCI Registry	OCI 镜像仓库	存储 OCI 镜像与工件的仓库
SBOM	软件物料清单	`Software Bill of Materials`
SLSA	供应链安全等级框架	`Supply-chain Levels for Software Artifacts`
in-toto	in-toto 供应链证明框架	供应链证明格式与框架
OPA	开放策略代理	`Open Policy Agent`
Rego	Rego 策略语言	OPA 使用的策略语言
ORAS	OCI 工件工具	用于操作 OCI Artifact 的 CLI
JWK	JSON Web Key	JSON Web 密钥格式
JWT	JSON Web Token	常见令牌格式
PluginResponse	插件响应	KBS 外部插件文档中的接口名
KBC	密钥代理客户端	`Key Broker Client` 的简称

扩展项目名与场景术语

English	中文建议	说明
BYOM	自带机器模型	`Bring Your Own Machine`
External Secrets Operator	外部机密 Operator	常简称 `ESO`
ESO	外部机密 Operator	`External Secrets Operator` 的简称
NIM	NVIDIA 推理微服务	`NVIDIA Inference Microservices`
Switchboard	Switchboard	相关博客中出现的项目名
IRSA	服务账户 IAM 角色机制	AWS 场景常见术语
EKS	Amazon Elastic Kubernetes Service	AWS Kubernetes 托管服务
AKS	Azure Kubernetes Service	Azure Kubernetes 托管服务
GKE	Google Kubernetes Engine	GCP Kubernetes 托管服务
NGC API	NGC API	NVIDIA NGC 访问接口

RuntimeClass 与字面标识符

以下名称通常不翻译，中文仅作解释。

English	中文建议	说明
`kata-qemu-coco-dev`	CoCo 开发运行时	非 TEE 开发与测试运行时
`kata-qemu-coco-dev-runtime-rs`	CoCo Rust 开发运行时	基于 Rust 的开发运行时
`kata-qemu-tdx`	TDX 运行时	Intel TDX `RuntimeClass`
`kata-qemu-snp`	SNP 运行时	AMD SEV-SNP `RuntimeClass`
`kata-qemu-sev`	SEV 运行时	AMD SEV `RuntimeClass`
`kata-qemu-se`	Secure Execution 运行时	IBM Secure Execution `RuntimeClass`
`kata-qemu-nvidia-gpu-tdx`	TDX + NVIDIA GPU 运行时	GPU 机密计算场景
`kata-qemu-nvidia-gpu-snp`	SNP + NVIDIA GPU 运行时	GPU 机密计算场景
`kata-remote`	远程虚拟机运行时	`Peer Pods` 或 `CAA` 场景
`kata-clh`	Cloud Hypervisor 运行时	发行说明中出现的运行时名称
`kata-clh-tdx`	Cloud Hypervisor TDX 运行时	发行说明中出现的运行时名称
`kata-cc`	CoCo 运行时	部分策略示例中出现
`io.containerd.cri.runtime-handler`	containerd 运行时处理器注解	用于选择运行时的注解