虚拟机引导加密方法

虚拟机引导加密的通用做法是“双重加密”：宿主机磁盘层用LUKS兜底，虚拟机系统盘再用BitLocker或LUKS二次加密，启动时通过虚拟TPM自动解锁或手动输口令，这样即便宿主机被拖走，虚拟磁盘文件只是一堆密文，虚拟机引导加密怎么做？先分清三个层面很多同学把“虚拟机加密”当成一个操作，实际上它至少横跨三个层面……