2.2.3. 将块设备添加到客户机时的安全问题

主机物理计算机不应使用文件系统标签来识别fstab 文件、initrd 文件或内核命令行中的文件系统。如果客户机虚拟机对整个分区或 LVM 卷具有写入访问权限，那么执行此操作会带来安全风险，因为客户机虚拟机可能会将属于主机物理计算机的文件系统标签写入其自己的块设备存储。重新引导主机物理计算机时，主机物理计算机随后可能会错误地将 guest 虚拟机的磁盘用作系统磁盘，这会破坏主机物理计算机系统。

最好使用设备的 UUID 在 /etc/fstab 文件中、/ dev/initrd 文件或在内核命令行上识别它。

客户机虚拟机不应被授予对整个磁盘或块设备的写入访问权限（例如 /dev/sdb）。可访问整个块设备的客户机虚拟机可以修改卷标签，这些标签可用于破坏主机物理计算机系统。使用分区（例如 /dev/sdb1或 LVM 卷）以防止此问题。有关 LVM 管理和配置示例的详情，请参阅使用 CLI 命令或 LVM 配置示例进行 LVM 管理。

如果您使用对分区的原始访问，如 /dev/sdb1 或原始磁盘，如 /dev/sdb，您应该将 LVM 配置为仅扫描安全的磁盘，使用 global_filter 设置。有关使用 global_filter 命令的 LVM 配置脚本示例，请参阅逻辑卷管理器管理指南。