Linux 7.4 intègre Dynamic PAMT pour Intel TDX afin d'économiser la RAM des serveurs

Linux 7.4 a intégré Dynamic PAMT, a rapporté Phoronix le 20 octobre 2026. Cette fonction d'Intel permet aux serveurs qui exécutent des machines virtuelles confidentielles de ne plus réserver une part fixe de mémoire au démarrage. Aujourd'hui, cette part représente environ 0,4 % de la RAM du système. Elle est payée que la machine exécute une VM protégée ou aucune. Avec des prix de la mémoire élevés, rendre cette RAM au travail ordinaire compte pour quiconque exploite de gros serveurs Intel.

Ce que sont TDX et PAMT

TDX, abréviation de Trust Domain Extensions, est la méthode d'Intel pour exécuter des machines virtuelles confidentielles. Une VM confidentielle garde sa mémoire chiffrée et cachée, même au système hôte qui l'exécute. L'idée est que les données d'un client restent privées, même vis-à-vis de celui qui exploite le matériel.

Pour tenir cette promesse, le module TDX suit chaque page de mémoire de la machine. Une page est le petit bloc, généralement de 4KB, par lequel le système gère la mémoire. Les données de suivi se trouvent dans la Physical Address Metadata Table, ou PAMT.

Jusqu'ici, Linux allouait toute la PAMT au démarrage de TDX. « Ces allocations statiques occupent environ 0,4 % de la mémoire du système », a écrit Rick Edgecombe dans la lettre de présentation de la série de correctifs. Dave Hansen l'a dit plus crûment dans la pull request citée par Phoronix : « C'est tout ou rien : soit vous payez les 0,4 %, soit vous ne pouvez pas utiliser TDX. »

Ce que change Dynamic PAMT

Dynamic PAMT n'alloue la partie la plus détaillée de la table qu'au moment où elle est nécessaire. La PAMT compte trois niveaux, qui correspondent à des blocs de mémoire de 1GB, 2MB et 4KB. Les niveaux 1GB et 2MB sont toujours mis en place au démarrage. Le niveau 4KB, qui suit les plus petites pages, est désormais rempli à l'exécution, selon les notes du correctif.

Détail	Avant Linux 7.4	Avec Dynamic PAMT
Quand la table du niveau 4KB est allouée	En une seule fois, au démarrage de TDX	À la demande, par tranche de 2MB de mémoire hôte
Mémoire réservée	Environ 0,4 % de la RAM, toujours	Augmente avec l'usage réel de TDX
Par défaut	Sans objet	Activé dès que le module TDX signale sa prise en charge
Coût en taille du noyau	Aucun	2KB quand TDX est intégré

Les économies sont maximales quand peu de VM confidentielles tournent. « Les économies varient selon le système et l'usage de TDX, mais pourraient aller jusqu'à 100 fois », a écrit Edgecombe.

Il y a un piège sur certaines machines. Dynamic PAMT a besoin de compteurs de références, de petits compteurs qui suivent à quel point chaque région est utilisée. Ils coûtent 2MB par 1TB d'espace d'adressage, avec un pire cas de 8GB sur les systèmes dotés d'un espace d'adressage de 52 bits. Sur les plateformes clairsemées dotées de peu de mémoire, avertissent les notes du correctif, le surcoût pourrait même dépasser les économies.

Comment il est arrivé dans le noyau

La série a connu 11 versions. La version 11, publiée le 4 septembre 2026, supprimait surtout un paramètre du noyau. Kiryl Shutsemau a coécrit deux de ses correctifs. Dès le 7 septembre, le travail était en file d'attente dans la branche x86/tdx de l'arbre tip, une zone de préparation pour les changements x86, rapportait alors Phoronix.

Le commit d'activation explique simplement ce choix par défaut : « Les économies de mémoire de DPAMT sont assez importantes pour en faire une bonne configuration par défaut. »

La même pull request TDX lève une deuxième limite. Les quotes, ces rapports signés qu'une VM confidentielle utilise pour prouver ce qu'elle exécute, étaient bloquées dans des tampons de 128KB. « Ces tampons de 128k sont bien trop petits pour la cryptographie post-quantique, où les quotes grossissent considérablement », a écrit Hansen. Le module TDX peut désormais indiquer la taille de tampon dont il a besoin, et Linux 7.4 le prend en charge.

Linux 7.4 rassemble aussi d'autres changements lors de ce cycle, dont un nouveau drapeau TAINT_FORCED_BIND pour les liaisons forcées de pilotes.

Ce que cela signifie pour les développeurs

L'essentiel arrive sans aucune action, mais les opérateurs d'hôtes TDX doivent s'y préparer.

• Mesurez à nouveau la mémoire des hôtes après la mise à jour. Sur les hôtes TDX peu sollicités, Linux 7.4 devrait libérer de la mémoire auparavant réservée. Vérifiez ce que remonte votre supervision, puis décidez s'il faut augmenter la densité de VM.
• Vérifiez la version de votre module TDX. Dynamic PAMT ne s'active que si le module TDX, le composant firmware d'Intel, signale qu'il le prend en charge. Un module plus ancien conserve le coût statique de 0,4 %.
• Testez les machines petites ou clairsemées. Selon les notes du correctif, le surcoût des compteurs de références peut y dépasser les économies. Comparez l'utilisation de la mémoire avant et après sur ce matériel.
• Surveillez l'attestation post-quantique. Les tampons de quotes plus grands préparent TDX aux signatures post-quantiques. Les équipes qui vérifient des rapports d'attestation doivent s'assurer que leurs outils acceptent des quotes plus volumineuses.