Red Hat Training
A Red Hat training course is available for Red Hat Enterprise Linux
2.2. Red Hat Enterprise Linux のホストセキュリティー推奨プラクティス
ホストのセキュリティーは、セキュアな仮想化インフラストラクチャーの極めて重要な要素であるため、以下の推奨プラクティスは Red Hat Enterprise Linux ホストシステムのセキュリティー保護の開始点とし役立ちます。
- ゲストシステムの使用と管理のサポートに必要なサービスのみを実行します。ファイルサービスや印刷サービスなどのサービスを追加で提供する必要がある場合には、それらのサービスを Red Hat Enterprise Linux ゲストで実行することを検討した方がよいでしょう。
- システムへの直接のアクセスはシステムの管理を行う必要がある人に制限してください。共有の root アクセスを無効にして、代わりに
sudo
などのツールを使用して、管理ロールに基づいて管理者に特権的アクセスを付与することを検討してください。 - SELinux がご使用のインストールに応じて適切に設定され、enforcing モードで稼働していることを確認します。これは、適正なプラクティスである上、sVirt によって提供される高度な仮想化セキュリティー機能は SELinux に依存しています。SELinux と sVirt に関する詳しい情報は 4章sVirt を参照してください。
- ホストシステムで監査が有効化され、libvirt が監査レコードを生成するように設定されていることを確認します。監査が有効化されると、libvirt はゲストの設定変更および起動/停止イベントの監査レコードを生成します。これは、ゲストの状態をトラッキングするのに役立ちます。また、libvirt の監査イベントは、標準の監査ログ検査ツール以外に、専用の auvirt ツールでも確認することができます。
- システムのリモート管理はすべてセキュアなネットワークチャネル上のみで実行されるようにしてください。SSH のようなツールや、TLS または SSL などのネットワークプロトコルは認証とデータ暗号化の両方を提供し、承認済みの管理者のみがシステムをリモートで管理できるようにするのに役立ちます。
- ご使用のインストールに応じてファイアウォールが適切に設定されており、ブート時にアクティブ化されることを確認します。システムの使用および管理に必要なネットワークポートのみを許可する必要があります。
- ディスク全体またはブロックデバイス (例:
/dev/sdb
) への直接のアクセスをゲストに許可するのは控えて、代わりにゲストストレージにはパーティション (例:/dev/sdb1
) や LVM ボリュームを使用します。 - スタッフが仮想化環境における十分なトレーニングを受けており、知識が十分にあることを確認してください。
警告
SR-IOV が利用不可能な場合に USB デバイス、物理ファンクションまたは物理デバイスを仮想マシンに割り当てると、デバイスのファームウェアを上書きするのに十分なデバイスへのアクセスが提供される場合があります。これにより、攻撃者が悪意のあるコードによってデバイスのファームウェアを上書きし、仮想マシン間でデバイスを移動する際やホストのブート時に問題を生じさせる潜在的なセキュリティー上の問題が提示されます。適用できる場合は、SR-IOV 仮想ファンクションデバイス割り当てを使用することをお勧めします。
注記
本ガイドは、大半の仮想化環境でみられるセキュリティー関連の課題、脆弱性、解決策と推奨される対処方法について説明することを目的としています。ただし、Red Hat Enterprise Linux システムのセキュリティーを保護する際には従うべき推奨プラクティスが数多くあり、これらはスタンドアロン、仮想化ホスト、ゲストインスタンスを問わずに適用されます。これらの推奨プラクティスにはシステム更新、パスワードのセキュリティー、暗号化、ファイアウォールの設定などが含まれます。この情報については、 https://access.redhat.com/site/documentation/ の 『Red Hat Enterprise Linux セキュリティガイド』 で詳しく説明しています。
2.2.1. パブリッククラウドオペレーター向けの特殊な考慮事項
パブリッククラウドサービスオペレーターは、従来の仮想化ユーザーのリスクを超える数多くのセキュリティーリスクにさらされます。悪意のあるゲストの脅威や、仮想化インフラストラクチャー全体にわたる顧客データの機密性および整合性に対する要件により、ホスト/ゲスト間ならびにゲスト間における仮想ゲストの分離は極めて重要となります。
パブリッククラウドオペレーターは上記の Red Hat Enterprise Linux 仮想化推奨プラクティスに加えて、以下の点も考慮する必要があります。
- ゲストからハードウェアへの直接のアクセスを無効にしてください。PCI、USB、FireWire、Thunderbolt、eSATA などのデバイスパススルーメカニズムは、管理を難しくする上、多くの場合は基礎となるハードウェアに依存してゲスト間の分離を強制します。
- クラウドオペレーターのプライベート管理ネットワークを顧客のゲストネットワークと分離して、顧客ネットワークを相互に分離することにより、以下が可能になります。
- ゲストがネットワークを介してホストシステムにアクセスできないようにする。
- 顧客がクラウドプロバイダーの内部ネットワークを介して別の顧客のゲストシステムに直接アクセスできないようにする。