6.2. PCI Passthrough

PCI 透传允许实例直接访问节点上的某一硬件。例如，这可用于允许实例访问视频卡或 GPU，为高性能计算提供计算的统一设备架构(CUDA)。这个功能涉及两种类型的安全风险：直接内存访问和硬件延迟。

直接内存访问(DMA)是允许某些硬件设备访问主机计算机中任意物理内存地址的功能。视频卡通常具有此功能。但是，不应为实例指定任意物理内存访问，因为它可以完全查看同一节点上运行的主机系统和其他实例。硬件供应商使用输入/输出内存管理单元(IOMMU)来管理 DMA 访问。您应该确认管理程序已配置为使用此硬件功能。

当实例对固件或某个设备的一部分进行恶意修改时，会发生硬件检测。由于此设备由其他实例或主机操作系统使用，因此恶意代码可能会分散到这些系统。最终结果是，一个实例可以在其安全区外运行代码。这是一个重大的破坏，因为难以重置物理硬件的状态，并可能导致其他暴露，如访问管理网络。