6.2. PCI 통과

PCI 패스스루를 사용하면 인스턴스에서 노드의 하드웨어 조각에 직접 액세스할 수 있습니다. 예를 들어, 이 방법을 사용하여 고성능 계산을 위해 컴퓨팅 CUDA(통합 장치 아키텍처)를 제공하는 비디오 카드 또는 GPU에 액세스할 수 있습니다. 이 기능은 직접 메모리 액세스 및 하드웨어 제약의 두 가지 유형의 보안 위험을 따릅니다.

DMA(직접 메모리 액세스)는 특정 하드웨어 장치가 호스트 컴퓨터의 임의 물리적 메모리 주소에 액세스할 수 있는 기능입니다. 종종 비디오 카드에는 이 기능이 있습니다. 그러나 동일한 노드에서 실행되는 호스트 시스템과 기타 인스턴스를 모두 볼 수 있으므로 인스턴스에 임의의 실제 메모리 액세스 권한이 부여되지 않아야 합니다. 하드웨어 벤더는 IOMMU(입력/출력 메모리 관리 단위)를 사용하여 이러한 상황에서 DMA 액세스를 관리합니다. 하이퍼바이저가 이 하드웨어 기능을 사용하도록 구성되어 있는지 확인해야 합니다.

하드웨어는 인스턴스가 펌웨어 또는 장치의 다른 일부 부분을 악의적으로 수정할 때 발생합니다. 이 장치는 다른 인스턴스 또는 호스트 OS에서 사용하므로 악의적인 코드가 해당 시스템으로 확산될 수 있습니다. 결과적으로 하나의 인스턴스에서 보안 영역 외부에서 코드를 실행할 수 있습니다. 이는 가상 하드웨어보다 물리적 하드웨어의 상태를 재설정하기 어렵기 때문에 보안 침해가 발생하고 관리 네트워크에 대한 액세스와 같은 추가 노출로 이어질 수 있습니다.

PCI 통과와 관련된 위험 및 복잡성 때문에 기본적으로 비활성화해야 합니다. 특정 요구 사항에 맞게 활성화된 경우 재사용하기 전에 하드웨어가 깨끗한지 확인하기 위해 적절한 프로세스를 마련해야 합니다.