21.6. 迁移实例

在实时迁移过程的不同阶段，实例运行时间内存和磁盘的内容以纯文本通过网络传输。因此，在使用实时迁移时需要解决多个风险。以下非应对列表详细介绍了其中的一些风险：

目前，OpenStack 中默认启用实时迁移。默认情况下，实时迁移是仅管理员的任务，因此用户无法启动此操作，而只有管理员（可能被信任）。可以通过在 nova policy.json 文件中添加以下行来禁用实时迁移：

"compute_extension:admin_actions:migrate": "!",
"compute_extension:admin_actions:migrateLive": "!",

"compute_extension:admin_actions:migrate": "!",
"compute_extension:admin_actions:migrateLive": "!",

或者，当阻止 TCP 端口 49152 到 49261 时，实时迁移可能会失败，或者确保 nova 用户在计算主机之间没有免密码 SSH 访问。

请注意，实时迁移的 SSH 配置可显著锁定：创建新用户(nova_migration)，并且 SSH 密钥仅限于该用户，并且仅在允许的网络上使用。然后，打包程序脚本会限制可运行的命令（例如，libvirt 套接字上的 netcat）。

实时迁移流量以纯文本格式传输正在运行的实例的磁盘和内存内容，目前默认托管在内部 API 网络上。

如果有足够的要求（如升级）来保持实时迁移，则 libvirtd 可以为实时迁移提供加密的隧道。但是，此功能不会在 OpenStack Dashboard 或 nova-client 命令中公开，只能通过手动配置 libvirtd 来访问。然后，实时迁移过程会更改为以下高级别步骤：