第 7 章 安全策略
虚拟机 (VM) 工作负载作为非特权 pod 运行。因此，虚拟机可以使用 OpenShift Virtualization 功能，一些 pod 被赋予其他 pod 所有者不可用的自定义安全策略：
-
扩展的
container_tSELinux 策略适用于virt-launcherpod。 -
为
kubevirt-controller服务帐户定义了 安全性上下文约束 (SCC)。
7.1. 关于工作负载安全性
默认情况下，虚拟机 (VM) 工作负载不会在 OpenShift Virtualization 中使用 root 权限运行。
对于每个虚拟机，virt-launcher pod 以 会话模式运行一个 libvirt 实例，用于管理虚拟机进程。在会话模式中，libvirt 守护进程以非 root 用户帐户运行，仅允许同一用户标识符 (UID) 下运行的客户端的连接。因此，虚拟机作为非特权 pod 运行，遵循最小特权的安全原则。
不支持需要 root 权限的 OpenShift Virtualization 功能。如果功能需要 root，则可能无法与 OpenShift Virtualization 搭配使用。
