18.5. 虚拟机安全性的自动功能

除了在保护虚拟机的最佳实践中列出的手工提高虚拟机的安全性外,libvirt 还提供了一组安全功能,它们会在 RHEL 9 的虚拟化环境中自动启用。它们是:

系统和会话连接

要访问 RHEL 9 中虚拟机管理的所有可用实用程序,您需要使用 libvirt 的系统连接 (qemu:///system)。要做到这一点,必须在系统中具有 root 权限,或者作为 libvirt 用户组的一部分。

不属于 libvirt 组中的非 root 用户只能访问 libvirt 的 会话连接 (qemu:///session),后者必须在访问资源时遵守本地用户的访问权限。例如,使用会话连接,您无法检测或访问系统连接中或由其他用户创建的虚拟机。另外,可用的 VM 网络配置选项也有很大限制。

注意

RHEL 9 文档假定您有系统连接权限。

虚拟机分离
单个虚拟机作为隔离进程在主机上运行,并依赖于主机内核强制的安全性。因此,虚拟机无法读取或访问同一主机上其他虚拟机的内存或存储。
QEMU 沙盒
此特性可防止 QEMU 代码执行可能会破坏主机安全性的系统调用。
内核地址空间随机化(KASLR)
启用对内核镜像解压缩的物理和虚拟地址进行随机化。因此,KASLR 会根据内核对象的位置防止客户机安全漏洞。