第 14 章 管理实例安全

本章使用术语 熵 来指代实例可用的随机数据的质量和来源。加密技术通常依赖于随机性，这要求从高质量的熵池中提取。实例通常难以获得足够的熵来支持这些操作；这称为熵。此条件可以在实例中作为看似不相关的操作而定。例如，引导时间较慢的原因可能是等待 SSH 密钥生成的实例。此条件还可能会使用户从实例内部使用较差质量熵源的风险，从而使应用程序在云中运行的总体安全。

需要的是，您可以通过为实例提供高质量熵来源来帮助解决这些问题。这可以通过在云中有足够的硬件随机数生成器(HRNG)来支持实例。在这种情况下，有足够的内容特定于域。对于日常操作，现代 HRNG 可能会生成足够的熵来支持 50-100 计算节点。高带宽 HRNG，如 Intel Ivy Bridge 和较新的处理器可用的 RdR 和指令可能会处理更多节点。对于给定的云，架构师需要了解应用要求，以确保有足够的熵。

Virtio RNG 是一个随机数字生成器，默认使用 /dev/random 作为熵的来源。它还可以配置为使用硬件 RNG 或熵收集守护进程(EGD)等工具来提供一种通过部署公平地分发熵的方法。您可以使用 hw_rng 元数据属性在实例创建时启用 Virtio RNG。