Linux 7.4 übernimmt Intel TDX Dynamic PAMT und spart Server-RAM

Linux 7.4 hat Dynamic PAMT übernommen, wie Phoronix am 20. Oktober 2026 berichtete. Mit der Intel-Funktion müssen Server, die vertrauliche virtuelle Maschinen betreiben, beim Booten keinen festen Teil des Speichers mehr reservieren. Heute sind das etwa 0,4 % des System-RAM. Diese Kosten fallen an, ob die Maschine nun eine geschützte VM betreibt oder gar keine. Bei hohen Speicherpreisen zählt es für jeden, der große Intel-Server betreibt, diesen RAM wieder für normale Arbeit nutzen zu können.

Was TDX und PAMT sind

TDX, kurz für Trust Domain Extensions, ist Intels Verfahren, um vertrauliche virtuelle Maschinen zu betreiben. Eine vertrauliche VM hält ihren Speicher verschlüsselt und selbst vor dem Hostsystem verborgen, auf dem sie läuft. Die Idee dahinter: Die Daten eines Kunden bleiben sogar vor demjenigen privat, der die Hardware betreibt.

Um dieses Versprechen zu halten, verfolgt das TDX-Modul jede Speicherseite der Maschine. Eine Seite ist der kleine Block, meist 4KB, in dem das System Speicher verwaltet. Die Verwaltungsdaten liegen in der Physical Address Metadata Table, kurz PAMT.

Bisher hat Linux die gesamte PAMT beim Start von TDX angelegt. „Diese statischen Zuweisungen belegen rund 0,4 % des Systemspeichers“, schrieb Rick Edgecombe im Cover Letter der Patch-Serie. Dave Hansen formulierte es in dem von Phoronix zitierten Pull Request noch deutlicher: „Das ist alles oder nichts: Entweder man zahlt die 0,4 %, oder man kann TDX nicht nutzen.“

Was Dynamic PAMT ändert

Dynamic PAMT legt den detailliertesten Teil der Tabelle erst an, wenn er gebraucht wird. Die PAMT hat drei Ebenen, passend zu Speicherblöcken von 1GB, 2MB und 4KB. Die Ebenen für 1GB und 2MB werden weiterhin beim Start eingerichtet. Die 4KB-Ebene, die die kleinsten Seiten verfolgt, wird laut den Patch-Notizen nun zur Laufzeit befüllt.

Detail	Vor Linux 7.4	Mit Dynamic PAMT
Wann die Tabelle der 4KB-Ebene angelegt wird	Komplett auf einmal, beim Start von TDX	Bei Bedarf, jeweils für 2MB Host-Speicher
Reservierter Speicher	Immer etwa 0,4 % des RAM	Wächst mit der tatsächlichen TDX-Nutzung
Standard	Nicht zutreffend	Aktiv, sobald das TDX-Modul Unterstützung meldet
Kosten bei der Kernelgröße	Keine	2KB, wenn TDX eingebaut ist

Die Einsparungen sind am größten, wenn nur wenige vertrauliche VMs laufen. „Die Einsparungen schwanken je nach System und TDX-Nutzung, könnten aber bis zu 100-fach sein“, schrieb Edgecombe.

Auf manchen Maschinen gibt es einen Haken. Dynamic PAMT braucht Referenzzähler, also kleine Zähler, die erfassen, wie stark jeder Bereich genutzt wird. Sie kosten 2MB pro 1TB Adressraum, im schlimmsten Fall 8GB auf Systemen mit 52-Bit-Adressraum. Auf spärlich bestückten Plattformen mit wenig Speicher, so warnen die Patch-Notizen, könnte der Overhead die Einsparungen sogar übersteigen.

Wie es in den Kernel kam

Die Serie durchlief 11 Versionen. Version 11, veröffentlicht am 4. September 2026, entfernte vor allem einen Kernelparameter. Kiryl Shutsemau war Mitautor von zwei ihrer Patches. Bis zum 7. September war die Arbeit im Branch x86/tdx des tip-Baums eingereiht, einem Sammelbereich für x86-Änderungen, wie Phoronix damals berichtete.

Der Commit, der die Funktion aktiviert, begründet den Standard klar: „Die Speichereinsparungen von DPAMT sind groß genug, um es zu einer guten Standardkonfiguration zu machen.“

Derselbe TDX-Pull-Request behebt eine zweite Grenze. Quotes, die signierten Berichte, mit denen eine vertrauliche VM nachweist, was sie ausführt, steckten bisher in 128KB-Puffern fest. „Diese 128k-Puffer sind viel zu klein für Post-Quanten-Kryptografie, bei der die Quotes erheblich wachsen“, schrieb Hansen. Das TDX-Modul kann jetzt die benötigte Puffergröße melden, und Linux 7.4 unterstützt das.

Linux 7.4 sammelt in diesem Zyklus noch weitere Änderungen, darunter ein neues Flag TAINT_FORCED_BIND für erzwungene Treiber-Bindungen.

Was das für Entwickler bedeutet

Das meiste davon kommt ohne eigenes Zutun an, doch Betreiber von TDX-Hosts sollten es einplanen.

• Messen Sie den Host-Speicher nach dem Upgrade neu. Auf wenig genutzten TDX-Hosts sollte Linux 7.4 Speicher freigeben, der zuvor reserviert war. Prüfen Sie, was Ihr Monitoring meldet, und entscheiden Sie dann, ob Sie die VM-Dichte erhöhen.
• Prüfen Sie die Version Ihres TDX-Moduls. Dynamic PAMT schaltet sich nur ein, wenn das TDX-Modul, Intels Firmware-Komponente, Unterstützung dafür meldet. Ein älteres Modul behält die statischen Kosten von 0,4 %.
• Testen Sie kleine oder spärlich bestückte Maschinen. Laut den Patch-Notizen kann der Overhead der Referenzzähler dort die Einsparungen übersteigen. Vergleichen Sie auf dieser Hardware den Speicherverbrauch vorher und nachher.
• Behalten Sie die Post-Quanten-Attestierung im Blick. Die größeren Quote-Puffer bereiten TDX auf Post-Quanten-Signaturen vor. Teams, die Attestierungsberichte prüfen, sollten sicherstellen, dass ihre Werkzeuge größere Quotes akzeptieren.