作者：範軍 （Frank Fan） 新浪微博：@frankfan7
傳統的安全設計思想在虛擬化中同樣適用。相比傳統服務器安全而言，安全問題對於虛擬化平臺顯得格外重要。因爲用戶在利用虛擬化的衆多優勢的同時，可能會對因爲共享帶來的潛在風險十分敏感。同時，集中了運算，存儲，網絡於一體，也提高了虛擬化安全的廣度和複雜性。本文嘗試介紹虛擬化基本安全架構和設計思路，幫你在衆多的安全話題理出個頭緒。後續文章會對每個層面深入分析。
一基本安全架構
在我設計的上圖中，三個縱軸代表了在傳統安全設計的三個要素，分別是Authentication, Authorization和Accounting。
Authentication：你是誰？
體現在用密碼、令牌、數字證書和指紋等方式驗證用戶的身份。
Authorization：你被授予什麼權限？也就是你能幹什麼？你不能幹什麼？
Accounting：所有的登陸、改動等活動有記錄可查
實施上述三個要素常用到RADIUS,TACACS和Diameter等協議或方法。
上圖的四個橫軸代表了虛擬化平臺中的四個層面。在安全設計時，需要在每一層都考慮縱軸代表的三個要素。
Virtualisation Layer：主要指ESXi/ESX主機的安全。考慮因素: 有沒有漏洞可以利用來入侵hypervisor層？如何在主機安全和便於管理之間找到一個平衡？LockdownMode
Virtual network Layer：涉及物理網絡、虛擬網卡，標準虛擬交換機vSwitch，分佈式虛擬交換機DVS，Nexus1000v等。考慮因素：共享虛擬網絡如何實現隔離，如果用一致的安全策略來管理物理網絡和虛擬網路？
Virtual Machine Layer：考慮因素：虛擬機之間如何隔離，虛擬機自身的安全考慮，防病毒和Malware，應用程序安全
Management Layer：使用vCenter等管理工具集中了很多管理的功能，大大增加了管理衆多虛擬機的效率。同時如果管理工具被惡意利用時，會造成大範圍的影響。
考慮因素：日誌管理，權限管理，入侵檢測，變更管理，配置管理
利用衆多VMware管理工具和第三方的軟件提高安全性。
二安全管理流程和策略
安全管理需要持續的努力，並根據新的情況不斷改進。大型企業往往已經有適用於物理環境的安全策略。在虛擬化平臺安全設計中，要特別在哪些方面與物理環境不同，從而決定哪些策略需要調整。
