Red Hat Training

A Red Hat training course is available for RHEL 8

15.4. 仮想マシンのセキュリティーの自動機能

「仮想マシンのセキュリティー保護に関するベストプラクティス」 に記載されている、仮想マシンのセキュリティーを向上させる手動の手段に加えて、RHEL 8 で仮想化を使用する場合は、libvirt ソフトウェアスイートにより、多くのセキュリティー機能が提供され、自動的に有効になっています。これには、以下が含まれます。

システムセッションおよびユーザーセッション

RHEL 8 で仮想マシン管理に使用できるすべてのユーティリティーにアクセスするには、libvirt の システムセッション を使用する必要があります。そのためには、システムで root 権限を持っているか、または libvirt ユーザーグループの一部である必要があります。

libvirt グループに属していない root 以外のユーザーは、libvirt の ユーザーセッション にのみアクセスできます。それは、リソースにアクセスする際に、ローカルユーザーのアクセス権限が有効である必要があります。たとえば、ユーザーセッションで、システムセッションまたは他のユーザーが作成した仮想マシンを検出またはアクセスすることはできません。また、利用可能な仮想マシンネットワーク設定オプションも大幅に制限されます。

注記

RHEL 8 ドキュメントは、libvirt システムセッションの特権があることを前提としています。

仮想マシンの分離
個々の仮想マシンは、ホストで孤立したプロセスとして動作し、ホストカーネルにより強制されるセキュリティーに依存します。したがって、仮想マシンは、同じホストにある他の仮想マシンのメモリーやストレージを読み取ったり、アクセスすることができません。
QEMU サンドボックス
QEMU コードが、ホストのセキュリティーを侵害する可能性のあるシステムコールを実行できない機能です。
KASLR (Kernel Address Space Randomization)
カーネルイメージを展開する物理アドレスおよび仮想アドレスをランダム化できるようにします。したがって、KASLR は、カーネルオブジェクトの場所に基づいて、ゲストのセキュリティーが悪用されるのを防ぎます。