diff --git a/docs/zh/docs/Administration/figures/AT_CHECK_Process.png b/docs/zh/docs/Administration/figures/AT_CHECK_Process.png
new file mode 100644
index 0000000000000000000000000000000000000000..f32d5af3a31c740febf1a4783a1dd0daafacb0df
Binary files /dev/null and b/docs/zh/docs/Administration/figures/AT_CHECK_Process.png differ
diff --git "a/docs/zh/docs/Administration/\345\206\205\346\240\270\345\217\257\344\277\241\346\240\271\346\241\206\346\236\266\347\224\250\346\210\267\346\226\207\346\241\243.md" "b/docs/zh/docs/Administration/\345\206\205\346\240\270\345\217\257\344\277\241\346\240\271\346\241\206\346\236\266\347\224\250\346\210\267\346\226\207\346\241\243.md"
new file mode 100644
index 0000000000000000000000000000000000000000..f9b493c1aca0d709bef2196503b5e761b77a28a0
--- /dev/null
+++ "b/docs/zh/docs/Administration/\345\206\205\346\240\270\345\217\257\344\277\241\346\240\271\346\241\206\346\236\266\347\224\250\346\210\267\346\226\207\346\241\243.md"
@@ -0,0 +1,90 @@
+#  内核可信根框架
+
+## 概述
+
+典型的攻击手段往往伴随着信息系统真实性、完整性的破坏，目前业界的共识是通过硬件可信根对系统关键组件进行度量/验证，一旦检测到篡改或仿冒行为，就执行告警或拦截。
+
+当前业界主流是采用TPM作为信任根，结合完整性保护软件栈逐级构筑系统信任链，从而保证系统各组件的真实性和完整性。openEuler支持的完整性保护特性如下：
+
+- 可信启动：系统启动阶段，度量启动组件的摘要值并记录到PCR寄存器；
+- IMA度量：文件访问阶段，度量文件的摘要值，并扩展到PCR寄存器；
+- DIM度量：进程运行阶段，度量内存代码段的摘要值，并扩展到PCR寄存器。
+
+近年来，随着可信计算、机密计算等安全技术的发展，业界出现了各种形态不一的硬件可信根，及其配套的证明体系，例如：
+
+- TCG Trusted Platform Module (TPM)
+- Trusted Cryptography Module (TCM)
+- Trusted Platform Control Module (TPCM)
+- Intel Trust Domain Extensions (TDX)
+- Arm Confidential Compute Architecture (CCA)
+- Virtualized Arm Confidential Compute Architecture (virtCCA)
+
+因此，本特性旨在支持一套内核态的可信根框架，南向支持多种可信根驱动，北向提供统一度量接口，对接上层完整性保护软件栈，将openEuler E2E完整性保护技术的硬件支持范围从单TPM扩展为多元异构可信根。
+
+## 特性介绍
+
+本特性目前支持哈希扩展类型的度量可信根，即采用若干个度量寄存器（对应一种或多种哈希算法）采用如下形式记录多个度量结果：
+
+```
+value_new = hash(value_old | measure_result)
+```
+
+上式中value_new/value_old代表可信根内的度量寄存器的新/旧值；measure_result代表本次的度量结果；hash代表该度量寄存器所使用的哈希算法。
+
+对于每一个可信根，开发者可通过本特性提供的框架层完成该可信根实例的定义和注册。注册成功后，完整性度量特性会自动将度量结果传入可信根实例中，完成哈希扩展和寄存器更新。
+
+## 特性范围
+
+本特性于openEuler 24.03 SP1（6.6内核）版本支持，当前南向支持TPM和virtCCA两种可信根，北向支持内核完整性度量（IMA）特性。后续将持续完善对于其他可信根和度量特性的支持工作。
+
+## 接口说明
+
+### 结构体接口说明
+
+对于每个可信根实例，需要定义如下结构体：
+
+```
+struct ima_rot {
+	const char *name;
+	int nr_allocated_banks;
+	struct tpm_bank_info *allocated_banks;
+
+	int (*init)(struct ima_rot *rot);
+	int (*extend)(struct tpm_digest *digests_arg, const void *args);
+	int (*calc_boot_aggregate)(struct ima_digest_data *hash);
+};
+```
+
+成员变量描述如下：
+
+| **成员**            | **说明**                              |
+| ------------------- | ------------------------------------- |
+| name                | 可信根设备的名称                      |
+| nr_allocated_banks  | 可信根支持的度量寄存器数量            |
+| allocated_banks     | 可信根度量寄存器算法定义              |
+| init                | 可信根初始化函数实现                  |
+| extend              | 可信根扩展函数实现                    |
+| calc_boot_aggregate | IMA特性的boot aggregate值计算函数实现 |
+
+接口体数组定义在内核代码的security/integrity/ima/ima_rot.c文件中的ima_rots变量，在该数组变量定义中追加可信根实例，即可实现IMA特性对不同可信根的功能扩展。
+
+### 启动参数接口说明
+
+本特性涉及新增如下启动参数：
+
+| **参数** | **取值** | **说明**                                                     |
+| -------- | -------- | ------------------------------------------------------------ |
+| ima_rot= | 字符串   | 指定IMA优先使用的可信根设备的名称。若指定设备不存在或初始化失败，则回退到使用默认设备（TPM）；如默认设备不可用，则无可信根。 |
+
+## 使用说明
+
+以用户在机密虚机中配置IMA度量使用virtCCA可信根为例，用户可在启动参数中添加如下参数：
+
+```
+ima_rot=virtcca
+```
+
+**注意：**如果环境中仅virtcca可信根可用，无其他可信根（如vTPM）可用，也可不配置该参数。
+
+配置完成后，首条IMA度量日志（boot aggregate日志）即为virtCCA的RIM的中存储的度量值；每条IMA度量日志的哈希值将在virtCCA的REM[0]中进行哈希扩展。用户可以基于virtCCA提供的远程证明软件栈实现机密虚机中的应用度量结果校验。
+
diff --git "a/docs/zh/docs/Administration/\350\247\243\351\207\212\345\231\250\347\261\273\345\272\224\347\224\250\347\250\213\345\272\217\345\256\214\346\225\264\346\200\247\344\277\235\346\212\244\347\224\250\346\210\267\346\226\207\346\241\243.md" "b/docs/zh/docs/Administration/\350\247\243\351\207\212\345\231\250\347\261\273\345\272\224\347\224\250\347\250\213\345\272\217\345\256\214\346\225\264\346\200\247\344\277\235\346\212\244\347\224\250\346\210\267\346\226\207\346\241\243.md"
new file mode 100644
index 0000000000000000000000000000000000000000..ce4e2e5affa4fa34a60888476771f6f2e17fcbd4
--- /dev/null
+++ "b/docs/zh/docs/Administration/\350\247\243\351\207\212\345\231\250\347\261\273\345\272\224\347\224\250\347\250\213\345\272\217\345\256\214\346\225\264\346\200\247\344\277\235\346\212\244\347\224\250\346\210\267\346\226\207\346\241\243.md"
@@ -0,0 +1,302 @@
+#  解释器类应用程序安全防护
+
+## 背景介绍
+
+业界主要使用Linux IMA机制对系统运行的程序发起完整性检查，一方面可以检测文件是否被篡改，另一方面通过IMA的白名单机制可以保证只有经过认证（如签名或HMAC）的文件才可以被运行。
+
+Linux IMA机制支持对通过read()、exec()、mmap()等系统调用访问的文件进行完整性度量/评估。尽管从功能上而言，IMA能够配置对解释器运行脚本所采用的read()系统调用的完整性保护功能，但是在实际场景中，IMA摘要列表主要配置为针对exec()、mmap()进行拦截，而无法有效拦截未授权的恶意脚本执行，原因IMA无法将脚本文件和其他可变的数据文件进行区分，一旦针对read()系统调用配置完整性保护，则会将其他可变的配置文件、临时文件、数据文件等纳入保护范围，而这些文件无法预先生成基线或认证凭据，从而导致完整性检查失败。因此实际场景无法配置基于read()的度量/评估策略，无法针对性地实现拦截和保护：
+
+| **执行方式** | 实际应用场景下能否通过IMA保护 |
+| ------------ | ----------------------------- |
+| ./test.sh    | 是                            |
+| bash test.sh | 否                            |
+
+## 特性介绍
+
+本特性旨在通过内核系统调用保证通过执行方式运行脚本文件（如./test.sh）和通过解释器运行脚本文件（bash ./test.sh）具备相同的权限检查流程，具体说明如下：
+
+### execveat()支持AT_CHECK检查参数
+
+execveat()是于Linux 3.19/glibc 2.34版本开始支持的系统调用函数，该函数允许传入一个已打开的文件描述符并执行该文件。本特性针对execveat()系统调用扩展AT_CHECK检查机制，实现对某个文件是否可执行进行检查操作，而不真正地执行该文件。
+
+当调用者通过execveat()系统调用函数，传入目标文件描述符并指定AT_CHECK参数时，在内核的系统调用执行逻辑中，首先针对传入的文件描述符进行权限检查，该流程与普通的文件执行流程一致，包含文件的DAC权限位、LSM访问控制规则、IMA等检查，如果检查不通过则退出并返回错误码-EACCSS。直到所有权限检查流程完成后，execveat()系统调用判断参数是否包含AT_CHECK，如果包含，则不执行后续的执行流程，退出并返回0，表示该文件的可执行权限检查通过。
+
+### 解释器支持调用execveat对程序进行权限检查
+
+在支持基于execveat()的AT_CHECK检查机制的基础上，当解释器打开待运行的脚本后，可主动调用execveat()系统调用函数发起对文件进行可执行权限检查，只有当权限检查成功后，才可继续运行脚本文件。
+![](./figures/AT_CHECK_Process.png)
+
+## 接口介绍
+
+### 系统调用接口说明
+
+execveat()系统调用的函数类型为：
+
+```
+int execveat(int dirfd, const char *pathname,
+             char *const _Nullable argv[],
+             char *const _Nullable envp[],
+             int flags);
+```
+
+本特性涉及新增flags参数AT_CHECK，说明如下：
+
+| **参数** | **取值** | **说明**                                           |
+| -------- | -------- | -------------------------------------------------- |
+| AT_CHECK | 0x10000  | 对目标文件进行可执行权限检查，而不真正地执行该文件 |
+
+### 内核启动参数说明
+
+本特性支持如下内核启动参数：
+
+| **参数**            | **取值** | **说明**                                                     |
+| ------------------- | -------- | ------------------------------------------------------------ |
+| exec_check.bash=    | 0/1      | 默认为0，设置为1时，bash解释器进程运行脚本时前调用execveat进行脚本文件的可执行权限检查 |
+| exec_check.java=    | 0/1      | 默认为0，设置为1时，jdk运行脚本时class和jar文件时，需要调用execveat进行脚本文件的执行权限检查 |
+| exec_check.<other>= | 0/1      | 后续可扩展其他解释器。                                       |
+
+**注意：上述启动参数实际由各个解释器进程进行读取解析，内核并不实际使用这些参数。**
+
+## 特性范围
+
+本特性于openEuler 24.03 SP1（6.6内核）版本支持，需要内核版本。特性支持的解释器类型如下：
+
+| **解释器** | **目标文件**      | **说明**                                             |
+| ---------- | ----------------- | ---------------------------------------------------- |
+| bash       | shell脚本文件     | bash进程对打开的shell文件进行可执行权限检查          |
+| jdk        | class文件/jar文件 | java虚拟机对加载的class文件和jar包进行可执行权限检查 |
+
+社区开发人员或用户可基于该机制，自行扩展其他解释器或类似机制的支持。
+
+## 接口说明
+
+### 结构体接口说明
+
+对于每个可信根实例，需要定义如下结构体：
+
+```
+struct ima_rot {
+	const char *name;
+	int nr_allocated_banks;
+	struct tpm_bank_info *allocated_banks;
+
+	int (*init)(struct ima_rot *rot);
+	int (*extend)(struct tpm_digest *digests_arg, const void *args);
+	int (*calc_boot_aggregate)(struct ima_digest_data *hash);
+};
+```
+
+成员变量描述如下：
+
+| **成员**            | **说明**                              |
+| ------------------- | ------------------------------------- |
+| name                | 可信根设备的名称                      |
+| nr_allocated_banks  | 可信根支持的度量寄存器数量            |
+| allocated_banks     | 可信根度量寄存器算法定义              |
+| init                | 可信根初始化函数实现                  |
+| extend              | 可信根扩展函数实现                    |
+| calc_boot_aggregate | IMA特性的boot aggregate值计算函数实现 |
+
+接口体数组定义在内核代码的security/integrity/ima/ima_rot.c文件中的ima_rots变量，在该数组变量定义中追加可信根实例，即可实现IMA特性对不同可信根的功能扩展。
+
+### 启动参数接口说明
+
+本特性涉及新增如下启动参数：
+
+| **参数** | **取值** | **说明**                                                     |
+| -------- | -------- | ------------------------------------------------------------ |
+| ima_rot= | 字符串   | 指定IMA优先使用的可信根设备的名称。若指定设备不存在或初始化失败，则回退到使用默认设备（TPM）；如默认设备不可用，则无可信根。 |
+
+## 使用说明
+
+### AT_CHECK参数使用示例
+
+#### 前置条件
+
+内核版本大于6.6.0-54.0.0.58，glibc版本大于等于2.38-41。
+
+```
+glibc-2.38-41.oe2403sp1.x86_64
+kernel-6.6.0-54.0.0.58.oe2403sp1.x86_64
+```
+
+#### 操作指导
+
+可编写如下测试程序(test.c)进行参数功能测试：
+
+```
+#define _GNU_SOURCE
+
+#include <stdio.h>
+#include <stdlib.h>
+#include <unistd.h>
+#include <fcntl.h>
+
+#define AT_CHECK               0x10000
+
+int main(void)
+{
+    int fd;
+    int access_ret;
+
+    fd = open("./", O_RDONLY);
+    access_ret = execveat(fd, "test.sh", NULL, NULL, AT_CHECK);
+    perror("execveat");
+    printf("access_ret = %d\n", access_ret);
+    close(fd);
+    return 0;
+}
+```
+
+**步骤1：**编译测试代码：
+
+```
+gcc test.c -o test
+```
+
+**步骤2：**创建测试脚本test.sh：
+
+```
+echo "sleep 10" > test.sh
+```
+
+**步骤3：**如果测试脚本具备合法的可执行权限，则execveat返回0：
+
+```
+# chmod +x test.sh
+# ./test
+execveat: Success
+access_ret = 0
+```
+
+**步骤4：**如果测试脚本不具备合法的权限，则execveat返回-1，错误码为Permission denied：
+
+```
+# chmod -x test.sh
+# ./test 
+execveat: Permission denied
+access_ret = -1
+```
+
+### bash解释器支持脚本可执行权限检查
+
+#### 前置条件
+
+内核版本大于6.6.0-54，glibc版本大于等于2.38-41，bash版本大于等于5.2.15-10
+
+```bash
+bash-5.2.15-10.oe2403sp1.x86_64
+glibc-2.38-41.oe2403sp1.x86_64
+kernel-6.6.0-54.0.0.58.oe2403sp1.x86_64
+```
+
+#### 操作指导
+
+**步骤1：**设置系统中所有脚本文件的权限为可执行
+
+```bash
+find / -name "*.sh" --exec chmod +x {} \;
+```
+
+**步骤2：**设置启动参数并重启系统，添加的启动参数为：
+
+```
+exec_check.bash=1
+```
+
+**步骤3：**验证只有具备可执行权限的脚本才可被bash解释器运行：
+
+```bash
+# echo "echo hello world" > test.sh
+# bash test.sh
+bash: line 0: [1402] denied sourcing non-executable test.sh
+# chmod +x test.sh
+# bash test.sh
+hello world
+```
+
+### jdk支持脚本可执行权限检查
+
+#### 前置条件
+
+获取支持该特性的jdk代码：
+
+```
+https://gitee.com/alapha/bishengjdk-8/tree/ima-check
+```
+
+按照如下流程编译：
+
+```
+https://gitee.com/openeuler/bishengjdk-8/wikis/%E4%B8%AD%E6%96%87%E6%96%87%E6%A1%A3/%E6%AF%95%E6%98%87JDK%208%20%E6%BA%90%E7%A0%81%E6%9E%84%E5%BB%BA%E8%AF%B4%E6%98%8E
+```
+
+#### 操作指导
+
+**步骤1：**确保系统中所有.class文件和.jar文件的可执行权限
+
+```
+find / -name "*.class" chmod +x {} \; 
+find / -name "*.jar" chmod +x {} \; 
+```
+
+**步骤2：**设置启动参数并重启系统，添加的启动参数为：
+
+```
+exec_check.java=1
+```
+
+**步骤3：**验证只有具备可执行权限的class文件或jar文件才可被jvm运行：
+
+可编写如下测试程序(HelloWorld.java)进行参数功能测试：
+
+```
+public class HelloWorld {    
+	public static void main(String[] args) {
+        System.out.println("Hello, World!");
+    }
+}
+```
+
+```bash
+# javac HelloWorld.java
+Access denied to /home/bishengjdk/bishengjdk-8/install/jvm/openjdk-1.8.0_432-internal/lib/tools.jar
+# chmod +x /home/bishengjdk/bishengjdk-8/install/jvm/openjdk-1.8.0_432-internal/lib/tools.jar
+# javac HelloWorld.java
+# java HelloWorld
+Access denied to HelloWorld.class
+
+# chmod +x HelloWorld.class
+# java HelloWorld
+Hello, World!
+```
+
+### 结合IMA摘要列表实现解释器类应用完整性保护
+
+#### 前置条件
+
+开启IMA摘要列表功能，详见**内核完整性度量（IMA）**文档章节。
+
+#### 操作指导
+
+**步骤1：**为目标应用程序生成IMA摘要列表（过程略，摘要列表生成方式详见**内核完整性度量（IMA）**文档章节）。
+
+**步骤2：**开启IMA摘要列表功能（过程略，摘要列表生成方式详见**内核完整性度量（IMA）**文档章节），以开启摘要列表+shell脚本校验为例，配置的内核启动参数如下：
+
+```bash
+ima_appraise=enforce ima_appraise_digest_list=digest-nometadata ima_policy="appraise_exec_tcb" initramtmpfs module.sig_enforce exec_check.bash=1
+```
+
+**步骤3：**验证IMA对bash脚本完整性保护
+
+```bash
+# echo "echo hello world" > test.sh
+# chmod +x test.sh
+# bash test.sh
+bash: line 0: [2520] denied sourcing non-executable test.sh
+
+# 生成摘要列表后签名并导入（略）
+# echo /etc/ima/digest_lists/0-metadata_list-compact-test.sh > /sys/kernel/security/ima/digest_list_data
+# bash test.sh
+hello world
+```
diff --git a/docs/zh/menu/index.md b/docs/zh/menu/index.md
index 087a14cb4bd498d6238a00fa5f177cf4e86d2432..a76ce1905a1494bf5d4138ad4ea5da6b6e888a50 100644
--- a/docs/zh/menu/index.md
+++ b/docs/zh/menu/index.md
@@ -61,6 +61,8 @@ headless: true
             - [远程证明（鲲鹏安全库）]({{< relref "./docs/Administration/远程证明（鲲鹏安全库）.md" >}})
             - [可信平台控制模块（TPCM）]({{< relref "./docs/Administration/可信平台控制模块（TPCM）.md" >}})
             - [常见问题与解决方法]({{< relref "./docs/Administration/可信计算常见问题与解决方法.md" >}})
+            - [解释器类应用程序完整性保护用户文档]({{< relref "./docs/Administration/解释器类应用程序完整性保护用户文档.md" >}})
+            - [内核可信根框架用户文档]({{< relref "./docs/Administration/内核可信根框架用户文档.md" >}})
         - [常见问题与解决方法]({{< relref "./docs/Administration/系统管理常见问题与解决方法.md" >}})
     - [运维指南]({{< relref "./docs/ops_guide/overview.md" >}})
         - [运维概述]({{< relref "./docs/ops_guide/运维概述.md" >}})