21.6. 迁移实例
OpenStack 和底层虚拟化层为在 OpenStack 节点之间实时迁移镜像，允许您无缝地执行 Compute 节点的滚动升级，而无需实例停机。但是，实时迁移也存在很大的风险。要了解涉及的风险，以下是实时迁移过程中执行的高级别步骤：
- 在目标主机上启动实例
- 传输内存
- 停止客户机和同步磁盘
- 传输状态
- 启动客户机
注意
某些操作（如冷迁移、调整大小和 shelve）都可能导致实例的数据传送到其他服务等。
21.6.1. 实时迁移风险
在实时迁移过程的不同阶段，实例运行时间内存和磁盘的内容以纯文本形式通过网络传输。因此，使用实时迁移时需要解决多个风险。以下非详细列表详细介绍了其中的一些风险：
- 拒绝服务(DoS)：如果在迁移过程中出现某种失败，则实例可能会丢失。
- 数据暴露：必须安全处理内存或磁盘加密。
- 数据操作：如果内存或磁盘传输没有被安全处理，则攻击者可以在迁移过程中操作用户数据。
- 代码注入：如果内存或磁盘传输没有被安全处理，则攻击者可以在迁移过程中处理可执行文件，可以是磁盘或内存中的可执行文件。
21.6.2. 加密实时迁移
实时迁移流量以纯文本形式传输正在运行的实例的磁盘和内存内容，且当前默认托管在内部 API 网络中。
如果有足够的要求（如升级）来保持启用实时迁移，则 libvirtd 可以为实时迁移提供加密的隧道。但是，此功能不会在 OpenStack Dashboard 或 nova-client 命令中公开，只能通过 libvirtd 的手动配置访问。然后，实时迁移过程会改为以下高级别步骤：
- 实例数据从 hypervisor 复制到 libvirtd。
- 加密隧道在源和目标主机上的 libvirtd 进程之间创建。
- 目标 libvirtd 主机将实例复制到底层虚拟机监控程序。
注意
对于 Red Hat OpenStack Platform 13，推荐的方法是使用隧道迁移，该迁移在将 Ceph 用作后端时默认启用。如需更多信息，请参阅 https://docs.openstack.org/nova/queens/configuration/config.html#libvirt.live_migration_tunnelled。
