Como o BIOS pode bloquear a virtualização?

Estou começando a trabalhar com o Docker e, depois de algumas horas tentando fazê-lo funcionar, descobri que o BIOS o estava bloqueando e que eu precisava ajustar as configurações do BIOS. Foi-me dito que o BIOS está de alguma forma relacionado à placa-mãe.

Como o BIOS pode bloquear esse tipo de processo, anulando o sistema operacional?

Não é que a CPU esteja bloqueando um programa; ele não tem um conceito de aplicativos nesse nível mais baixo. O problema é que o Docker em sistemas operacionais não Linux pode exigir virtualização de hardware. Você não especificou seu sistema operacional, mas fiz uma pequena espionagem e descobri que você provavelmente usa o Windows.

A virtualização de hardware é um recurso da CPU que, como você pode imaginar, permite que a CPU ajude na virtualização. Em muitas máquinas, você precisa habilitá-lo no BIOS. Isso é, em parte, para evitar problemas de segurança . Basicamente, você não pode iniciar um programa porque ele tentou usar um recurso que estava efetivamente ausente em vez de bloqueado ativamente.

A resposta de Ben N é claramente a mais útil e clara.

Para aqueles que ainda se perguntam, no entanto, aqui está a história completa.

A virtualização é alcançada com o auxílio de hardware da CPU. Como um sistema operacional virtual interferiria no host, pois eles competem pelos mesmos recursos, é necessário um mecanismo para impedir que o convidado tenha acesso descontrolado ao hardware. Isso pode ser devido a software, lentidão, técnicas ou assistência da CPU.

A virtualização assistida por hardware é implementada com instruções opcionais específicas. Você pode ler sobre isso nos capítulos 23, 24, 25, 26, 27 e 28 do Intel Intel 3B Part 3 . O software deve primeiro verificar se essas instruções são suportadas antes de tentar usá-las.

Por motivos de segurança, a CPU possui um registro especial, é um MSR , chamado IA32_FEATURE_CONTROL, que mantém os bits informando com o recurso para ativar ou desativar.
Citação

O bit 0 é o bit de bloqueio. Se esse bit estiver claro, o VMXON causará uma exceção de proteção geral. Se o bit de bloqueio estiver definido, o WRMSR para este MSR causará uma exceção de proteção geral; o MSR não pode ser modificado até uma condição de redefinição de inicialização . O BIOS do sistema pode usar esse bit para fornecer uma opção de configuração para o BIOS desabilitar o suporte ao VMX. Para habilitar o suporte ao VMX em uma plataforma, o BIOS deve definir o bit 1, o bit 2 ou ambos (veja abaixo), bem como o bit de bloqueio.

O ponto fundamental é que, uma vez bloqueado, o registro não pode ser desbloqueado até a inicialização .

Como o BIOS / UEFI vem em primeiro lugar, ele pode desativar a virtualização limpando os bits apropriados e bloqueando o registro antes que qualquer sistema operacional possa impedir isso. Quando o recurso de virtualização é desativado dessa maneira, a CPU relata que está faltando a extensão de instrução opcional (e realmente falha se for usada) e, portanto, o software não pode usar a virtualização de hardware.