18.3. 仮想マシンのセキュリティーのデフォルト機能
仮想マシンのセキュリティーを強化する手動の方法 (仮想マシンのセキュリティー保護に関するベストプラクティス に記載) に加えて、多数のセキュリティー機能が libvirt ソフトウェアスイートにより提供され、RHEL 10 で仮想化を使用するときに自動的に有効になります。これには以下が含まれます。
- システムおよびセッションの接続
RHEL 10 ホストでの仮想マシン管理に使用できるすべてのユーティリティーにアクセスするには、
libvirtの システム接続 (qemu:///system) を使用する必要があります。そのためには、システムで root 権限を持っているか、libvirt ユーザーグループの一部である必要があります。libvirt グループに属していない root 以外のユーザーは、
libvirtの セッション接続 (qemu:///session) にのみアクセスできます。セッション接続では、リソースにアクセスする際に、ローカルユーザーのアクセス権に従う必要があります。詳細は、仮想化のユーザー空間接続タイプ を参照してください。
- 仮想マシンの分離
- 個々の仮想マシンは、ホストで孤立したプロセスとして動作し、ホストカーネルにより強制されるセキュリティーに依存します。したがって、仮想マシンは、同じホストにある他の仮想マシンのメモリーやストレージを読み取ったり、アクセスすることができません。
- QEMU サンドボックス
- QEMU コードが、ホストのセキュリティーを侵害する可能性のあるシステムコールを実行できない機能です。
- KASLR (Kernel Address Space Randomization)
- カーネルイメージをデプロイメントする物理アドレスおよび仮想アドレスをランダム化できるようにします。したがって、KASLR は、カーネルオブジェクトの場所に基づいて、ゲストのセキュリティーが悪用されるのを防ぎます。