用途：在支持 Nitro 的 EC2 实例上构建机密计算环境，将 PII、PHI、金融记录、密钥等敏感数据的处理隔离在 Enclave 内，使父实例 root 也无法读取其内存与状态；也可用于多方计算、将父实例上的解密迁移进 Enclave 边界。
主要能力：用 nitro-cli 从 Docker 镜像构建 EIF 并获取 PCR0/PCR1/PCR2 度量，支持签名证书生成 PCR8；配置 KMS 基于证明的密钥策略（kms:RecipientAttestation:ImageSha384、PCR8、多 PCR 组合）；通过 vsock 实现父实例代理与 Enclave 客户端通信；校验 COSE_Sign1 证明文档、证书链与 PCR；启动、监控与终止 Enclave。
必要用法：在 Amazon Linux 2 上安装 aws-nitro-enclaves-cli 与 devel 包，启用 allocator 与 docker 服务，将用户加入 ne、docker 组；编辑 /etc/nitro_enclaves/allocator.yaml 分配内存与 CPU；用 docker build 后执行 nitro-cli build-enclave --docker-uri ... --output-file ... 生成 EIF；用 nitro-cli run-enclave --eif-path ... --cpu-count 2 --memory 4096 --enclave-cid 16 启动，describe-enclaves 查看状态，terminate-enclave 终止。
适用场景：需硬件级隔离的敏感数据处理、证明绑定的 KMS 解密、多 Enclave 互信。
限制：实例须为 Nitro 型且至少 4 vCPU；不处理敏感数据、或 vsock 延迟不可接受时不适用；--debug-mode 仅限开发，生产须移除；资料未提供收费、价格与效果数据。