Red Hat Training
A Red Hat training course is available for Red Hat Enterprise Linux
2.2. 建議的 RHEL 主機安全性實務
鑑於主機安全性在虛擬化架構扮演了如此重要的角色，以下乃架構安全的 RHEL 主機系統的建議實務，作為起始的第一步：
- 只在系統上執行使用、管理客座端所需的服務。如果您需要提供額外服務，例如檔案或列印服務，請考慮在 RHEL 客座端中執行。
- 僅限於需要管理系統的人存取系統。也請考慮停用他人共享 root 的存取，若要使用這項功能，請使用諸如
sudo的工具，根據管理角色將管理權限授與使用者。 - 請確定 SELinux 已配置完善，並以「強制」模式執行。除了安全性實務以外，還有 sVirt 所提供的更先進的虛擬化安全功能，其基礎也建構於 SELinux 之上。欲取得更多有關於 SELinux 與 sVirt 的詳情，請參閱〈章 4, sVirt〉。
- 請確定主機系統上啟用了稽核功能，且 libvirt 已設置會發出稽核記錄。稽核啟用時，libvirt 會產生關於客座端配置變化的紀錄、以及啟動 / 停止事件，這能幫助您追蹤客座端的狀態。除了標準稽核的日誌檢查工具外，libvirt 稽核事件也可以透過特有的 auvirt 工具來檢視。
- 請確定系統上的所有遠端管理工具，皆使用了安全的網路頻道。SSH 之類的工具與 TLS 或 SSL 之類的網路通訊協定，都提供了身分認證與資料加密的安全性，確保只有正確的管理者能從遠端管理系統。
- 請確認防火牆已正確配置，且在開機時就會啟動。只開放需要使用、需要用以管理功能的網路連接埠。
- 請不要賦予客座帳號直接存取整個磁碟或區塊裝置（例如
/dev/sdb）的權限；反之，請使用分割區（例如/dev/sdb1）或 LVM 卷冊做為客座帳號的儲存裝置。 - 請確認員工接受了虛擬環境的相關訓練與知識。
警告
在虛擬機器沒有 SR-IOV 的情況下連接 USB 裝置、實體功能、或實體裝置時，能提供對裝置的存取，但卻不足以覆寫裝置的韌體。這會導致潛在的安全性問題，駭客可以覆寫裝置的韌體，加入惡意程式碼，以致在虛擬機器間切換、或主機開機時，覆寫裝置的韌體。建議您在可能的情況下，使用 SR-IOV 虛擬功能裝置的指定功能。
注意
本指南的目標是解釋關於安全性的獨特挑戰、弱點、與解決方案，這些問題存在於大部分虛擬環境中；也列出解決這些問題的建議。然而，要讓 RHEL 系統（不管是獨立主機、虛擬主機、或虛擬機器）變得安全，有許多建議上需採行的實務。這些建議上的實務包含了例如系統更新、密碼安全、加密、以及配置防火牆這些步驟。相關資訊在位於〈https://access.redhat.com/site/documentation/〉的《Red Hat Enterprise Linux 安全性指南》中有進一步的描述。
2.2.1. 公開雲端營運者的特別考量
跟傳統的虛擬化用戶比起來，公開雲端營運者會暴露在更多安全性風險中。虛擬客座端隔離（介於主機與客座端、還有客座端與客座端之間）是非常重要的，因為有些威脅來自惡意客座端，同時虛擬化架構中需要保護客戶資料的機密性與完整性。
除了上述建議關於 RHEL的實務以外，公開雲端營運者還需要考量以下項目：
- 停用來自客座端任何對硬體的存取。PCI、USB、FireWire、Thunderbolt、eSata 及其它裝置的穿越機制不但會造成管理上的難題，也常常會仰賴底層的硬體來強制分離客座端。
- 將雲端供應者的私有管理網路與客戶的客座端網路隔開，也將不同客戶的網路隔開，這樣一來：
- 客座端就無法透過網路存取主機系統。
- 客戶無法透過雲端供應者的內部網路，直接存取另一位客戶的客座端系統。
