Red Hat Summit 红帽全球峰会支持控制台（Console）开发人员开始试用联系人

第 6 章 强化基础架构和虚拟化

您的操作程序应该有一个计划了解新的漏洞和安全更新。硬件和软件供应商通常宣布存在漏洞，并提供解决这些问题的解决方法和补丁。

红帽产品安全团队维护站点以帮助您了解安全更新：

注意

除了跟踪更新外，请确保您的进程和部署还可以容纳常规安全更新的安装。另外，使用以下指南：

  • 在设计流程时包括实例安全更新。
  • 重新引导计算和管理节点以获取内核更新。
  • 定期更新托管的镜像服务(glance)镜像，以确保新创建的实例有最新的更新。

6.1. 虚拟机监控程序
复制链接

当您评估虚拟机监控程序平台时，请考虑管理程序要在其上运行的硬件的可支持性。此外，还要考虑硬件中提供的其他功能，以及您选择作为 OpenStack 部署一部分的虚拟机监控程序支持这些功能。为此，管理程序各自具有自己的硬件兼容性列表(HCLs)。当选择兼容硬件时，提前知道基于硬件的虚拟化技术在安全性方面非常重要。

6.1.1. 管理程序与裸机
复制链接

务必要识别 Linux 容器或裸机系统与使用 KVM 等虚拟机监控程序之间的差别。具体来说，此安全指南的重点主要是基于管理程序和虚拟化平台。但是，如果您的实施需要使用裸机或容器化环境，您必须注意部署该环境的具体区别。

对于裸机，请确保在重新置备和停用之前节点已被正确清理数据。另外，在重新使用节点前，您必须提供保证硬件没有被篡改或被破坏。如需更多信息，请参阅 https://docs.openstack.org/ironic/queens/admin/cleaning.html

6.1.2. hypervisor 内存优化
复制链接

某些虚拟机监控程序使用内存优化技术，可过量使用虚拟机的内存。这是一个实用的功能，允许您部署非常密度的计算集群。这种技术的一种方法是通过去除重复数据或内存页面共享：当两个虚拟机在内存中有相同的数据时，有好处是将它们引用同一内存。通常，这通过 Copy-On-Write (COW)机制执行，如内核相同的页面合并(KSM)。这些机制容易受到攻击：

  • 内存去除重复数据系统会受到 side-channel 攻击的影响。在学术研究中，攻击者可以通过分析攻击者虚拟机上的内存访问时间来识别在邻居虚拟机上运行的软件包和版本，以及软件下载和其他敏感信息。因此，一个虚拟机可以推断出另一个状态的问题，这可能不适用于不是所有项目信任的多项目环境，或者共享同一级别的信任
  • 更重要的是，对 KSM 进行了 多行类型攻击，以保证跨虚拟机修改可执行内存。这意味着，恶意实例可以获取对同一计算主机上其他实例的代码执行访问权限。

如果部署器需要强大的项目分离（与公共云和一些私有云一样），则部署器应禁用 KSM：

Red Hat logoGithubredditYoutubeTwitter

学习

尝试、购买和销售

社区

关于红帽文档

通过我们的产品和服务，以及可以信赖的内容，帮助红帽用户创新并实现他们的目标。 了解我们当前的更新.

让开源更具包容性

红帽致力于替换我们的代码、文档和 Web 属性中存在问题的语言。欲了解更多详情，请参阅红帽博客.

關於紅帽

我们提供强化的解决方案，使企业能够更轻松地跨平台和环境（从核心数据中心到网络边缘）工作。

Theme

© 2026 Red Hat返回顶部