Show Table of Contents
2.2. 建議的 RHEL 主機安全性實務
鑑於主機安全性在虛擬化架構扮演了如此重要的角色，以下乃架構安全的 RHEL 主機系統的建議實務，作為起始的第一步：
- 只在系統上執行使用、管理客座端所需的服務。如果您需要提供額外服務，例如檔案或列印服務，請考慮在 RHEL 客座端中執行。
- 僅限於需要管理系統的人存取系統。也請考慮停用他人共享 root 的存取，若要使用這項功能，請使用諸如
sudo的工具，根據管理角色將管理權限授與使用者。 - 請確定 SELinux 已配置完善，並以「強制」模式執行。除了安全性實務以外，還有 sVirt 所提供的更先進的虛擬化安全功能，其基礎也建構於 SELinux 之上。欲取得更多有關於 SELinux 與 sVirt 的詳情，請參閱〈章 4, sVirt〉。
- 請確定主機系統上啟用了稽核功能，且 libvirt 已設置會發出稽核記錄。稽核啟用時，libvirt 會產生關於客座端配置變化的紀錄、以及啟動 / 停止事件，這能幫助您追蹤客座端的狀態。除了標準稽核的日誌檢查工具外，libvirt 稽核事件也可以透過特有的 auvirt 工具來檢視。
- 請確定系統上的所有遠端管理工具，皆使用了安全的網路頻道。SSH 之類的工具與 TLS 或 SSL 之類的網路通訊協定，都提供了身分認證與資料加密的安全性，確保只有正確的管理者能從遠端管理系統。
- 請確認防火牆已正確配置，且在開機時就會啟動。只開放需要使用、需要用以管理功能的網路連接埠。
- 請不要賦予客座帳號直接存取整個磁碟或區塊裝置（例如
/dev/sdb）的權限；反之，請使用分割區（例如/dev/sdb1）或 LVM 卷冊做為客座帳號的儲存裝置。 - 請確認員工接受了虛擬環境的相關訓練與知識。
警告
在虛擬機器沒有 SR-IOV 的情況下連接 USB 裝置、實體功能、或實體裝置時，能提供對裝置的存取，但卻不足以覆寫裝置的韌體。這會導致潛在的安全性問題，駭客可以覆寫裝置的韌體，加入惡意程式碼，以致在虛擬機器間切換、或主機開機時，覆寫裝置的韌體。建議您在可能的情況下，使用 SR-IOV 虛擬功能裝置的指定功能。
注意
本指南的目標是解釋關於安全性的獨特挑戰、弱點、與解決方案，這些問題存在於大部分虛擬環境中；也列出解決這些問題的建議。然而，要讓 RHEL 系統（不管是獨立主機、虛擬主機、或虛擬機器）變得安全，有許多建議上需採行的實務。這些建議上的實務包含了例如系統更新、密碼安全、加密、以及配置防火牆這些步驟。相關資訊在位於〈https://access.redhat.com/site/documentation/〉的《Red Hat Enterprise Linux 安全性指南》中有進一步的描述。
2.2.1. 公開雲端營運者的特別考量
跟傳統的虛擬化用戶比起來，公開雲端營運者會暴露在更多安全性風險中。虛擬客座端隔離（介於主機與客座端、還有客座端與客座端之間）是非常重要的，因為有些威脅來自惡意客座端，同時虛擬化架構中需要保護客戶資料的機密性與完整性。
除了上述建議關於 RHEL的實務以外，公開雲端營運者還需要考量以下項目：
- 停用來自客座端任何對硬體的存取。PCI、USB、FireWire、Thunderbolt、eSata 及其它裝置的穿越機制不但會造成管理上的難題，也常常會仰賴底層的硬體來強制分離客座端。
- 將雲端供應者的私有管理網路與客戶的客座端網路隔開，也將不同客戶的網路隔開，這樣一來：
- 客座端就無法透過網路存取主機系統。
- 客戶無法透過雲端供應者的內部網路，直接存取另一位客戶的客座端系統。
Where did the comment section go?
Red Hat's documentation publication system recently went through an upgrade to enable speedier, more mobile-friendly content. We decided to re-evaluate our commenting platform to ensure that it meets your expectations and serves as an optimal feedback mechanism. During this redesign, we invite your input on providing feedback on Red Hat documentation via the discussion platform.