随着云计算的蓬勃发展,越来越多高性能、高价值的数据和应用被迁移到云端。目前,云端采用虚拟机和容器两种技术来隔离不同用户的不同应用。相较传统虚拟机,容器技术启动速度快,资源利用率高,易于用户部署。容器技术可以使用户专注于业务逻辑而无需考虑系统运行环境等因素,提升了用户效率。与虚拟机拥有独立客户操作系统（Guest Operating System,简称Guest OS）不同,容器共享主机操作系统,导致容器的隔离性弱于传统虚拟机。容器由主机操作系统提供系统调用等服务,主机操作系统被恶意容器攻陷后会破坏容器之间的隔离性,影响其余容器的安全。容器技术在隔离性方面的缺陷使得容器技术主要被应用在私有云场景中。在复杂的公有云场景中,云服务商大多采用虚拟机内运行容器的方式对用户提供容器服务。本文结合进程级虚拟化技术和可信执行环境（Trusted Execution Environment,简称TEE）技术,对容器的隔离性进行增强。本文提供了一套安全,高效且适用于复杂公有云场景的安全容器解决方案。本方案利用AMD安全加密虚拟化（Secure Encrypted Virtualization,简称SEV）技术作为安全硬件特性支持。用户可以在公有云利用本方案提供的安全容器作为进程级可信执行环境TEE使用。本方案通过SEV技术内存加密的方式防御了特权程序攻击和物理攻击。同时,将云服务商排除在可信计算基（Trusted Computing Base,简称TCB）之外,使得用户可以在不信任云服务商的情况下完成安全容器的交易和使用。虚拟机内运行容器的传统云容器方案主要面临两个问题:1.云平台系统软件和虚拟机系统软件都会影响容器的安全性,导致整体可信计算基过大;2.容器无法防御恶意云服务商发起的攻击,影响了容器的安全性。为了解决以上两个问题,本文提供了一套容器结合进程级虚拟化技术和SEV技术的安全容器解决方案。该方案对公有云场景支持良好,主要包含以下两个部分。·为了解决问题1中可信计算基过大问题,本文设计和实现了一套进程级虚拟化容器方案。相比将容器运行在虚拟机内的传统云容器方案,本方案通过进程级虚拟化技术,将容器运行的系统级虚拟化环境转换为进程级虚拟化环境。进程级虚拟化容器方案提供了精简内核和精简虚拟机监控器,解决了云平台系统软件和虚拟机系统软件导致的可信计算基过大的问题。本方案通过容器结合进程级虚拟化技术,提升了容器的安全性。·为了解决问题2中容器无法防御恶意云服务商攻击的问题,本文在进程级虚拟化容器方案的基础上扩展了SEV功能,提供了一套SEV安全容器方案。相比将容器运行在虚拟机内的传统云容器方案,本方案通过库操作系统模块支持容器内多数系统调用,减少了容器对主机操作系统的依赖。同时,SEV安全容器方案使用SEV加密手段防御恶意云服务商发起的特权程序攻击和物理攻击,使得用户可以在不信任云服务商的情况下完成安全容器的交易和使用。