第二章虚拟化核心技术和安全.ppt

第二章 虚拟化核心技术和安全 虚拟化的核心技术 VMotion VMotion是什么 通过VMotion可以实现虚拟机的动态迁移 而服务不中断客户优势零宕机时间 进行有计划的服务器维护和升级迁移工作负载 资源利用率最大化服务器的持续可用性 完整的交易集成支持FibreChannel和iSCSISAN环境以及NAS VMotion迁移虚拟机 SAN iSCSI或NAS StorageVMotion 虚拟机磁盘存储独立迁移无需虚拟机停机LUN独立支持光纤通道SAN 无中断 刷新到新阵列迁移到不同类别的存储器升级到新文件系统格式虚拟机粒度 LUN独立 分布式资源调度 DRS 功能跨资源池动态调整计算资源基于预定义的规则智能分配资源优势使IT和业务优先级对应动态提高系统管理效率自动化的硬件维护 动态负载均衡和连续智能优化 保证所有应用需要的的资源 资源池ResourcePool 业务需求BusinessDemand 围绕业务进行组织和规划 而不是您的硬件 负载分配规则设定一次 永远有效 自动执行易于添加更多的资源避免业务繁忙时段的过载 DRS动态获得硬件资源 动态添加硬件 资源池CPU36GHz Mem58GB优先级 高 资源池CPU50GHz Mem70GB优先级 高 分布式电源管理 DPM 资源池 业务需求 下电 当整个群集需要资源减少时 整合所有负载到少数几台服务器上将不需要的服务器置于备用模式当负载增加时 DPM自动将处于备用状态的服务器唤醒 在确保服务级别的同时 最大限度降低了数据中心服务器的耗电量虚拟机没有中断或停机 利用UpdateManager和DRS无中断地升级Hypervisor UpdateManager升级整个DRS群集DRS群集中的每个Hypervisor主机依次进入维护模式虚拟机被VMotion到其他HypervisorHypervisor升级并重启虚拟机重新VMotion回来下一台Hypervisor重复以上步骤 VMotion VMotion UpdateManagerserver 大批量地升级Hypervisor并且不影响任何应用的运行 虽然Hypervisor会重启 但确保虚拟机永不停机 UpdateManager 对Hypervisor和Microsoft及RHEL虚拟机的自动补丁管理扫描和更新在线和非在线的虚拟机 以及在线的Hypervisor补丁更新前先对虚拟机做快照 允许随时回退到补丁前状态 UpdateManager 不需手工跟踪补丁版本和更新情况使用标准或自定义的补丁列表 批量更新虚拟机补丁利用快照技术降低应用补丁的风险离线补丁技术可以避免网络上的干扰 还可以对模板应用补丁 OFFLINE 描述用于ESX虚拟机的高性能集群文件系统优势简化虚拟机的部署和管理利用共享存储确保数据完整性可运行多个ESX实例同时访问同一个虚拟机存储支持基于虚拟化的分布式基础架构服务 vStorageVMFS ESX 数据存储 虚拟磁盘 20GB 100GB LUN 扩展10G的虚拟磁盘 添加新的虚拟磁盘 增加VMFS卷可扩大数据存储 扩展8G的虚拟磁盘 20GB 数据存储不改变 增加VMFS卷可扩大数据存储 40GB 描述通过分配比实际购买容量更多的存储容量 来实现更高的存储利用率优势简化了管理延长了应用程序正常运行时间提高了存储利用率 vStorageThinProvisioning ESX 数据存储 虚拟磁盘 20GB 40GB 20GB 20GB 20GB 100GB 厚 精简 精简 40GB 100GB vHA 功能当服务器故障时 自动重新启动虚拟机优势经济有效的适用于所有应用的高可用不需要独占的stand by硬件没有集群软件的成本和复杂性 经济有效的适用于所有应用的高可用解决方案 X FaultTolerance FT 在不同的主机上同步运行相同的虚拟机出现硬件故障时 所有虚拟机均可实现零停机时间 零数据损失故障切换零停机时间 零数据损失无需复杂的群集或专用硬件所有应用程序和操作系统通用的单一机制 VDCOS X X DataRecovery 虚拟机的无代理 基于磁盘的备份和恢复虚拟机或文件级别的恢复增量备份和消除重复数据以节约磁盘空间为虚拟机提供快速 简单和完整的数据保护通过vCenter实现集中式管理经济高效的存储管理 消除重复数据存储设备 Hypervisor 描述为供应商提供的编程界面 由VCB演变的新一代产品优势支持虚拟机的增量 差异和完整映像备份和恢复为Windows和Linux虚拟机提供文件级备份支持提供不会对ESX造成负载的高效备份 用于数据保护的vStorageAPI vNetwork分布式交换机 聚合数据中心级别虚拟网络简化的设置和更改轻松地进行故障排除 监视和调试支持第三方虚拟环境的透明管理 VDCOS vNetwork分布式交换机 虚拟交换机 虚拟交换机 虚拟交换机 CiscoNexus1000V vShieldZones 安全遵从性 vShieldZones vShieldZones VDCOS VDCOS 保护引擎 VirtualDataCenterOS VMsafe API通过检查与管理程序一起使用的虚拟组件来保护虚拟机将保护引擎与恶意软件隔离广泛的覆盖范围 包括虚拟机CPU 内存 存储器和网络 应用程序 操作系统 vApp 自我描述的应用系统可实现自动化SLA管理 纵向扩展应用系统以实现有保证的QoS 可扩展虚拟机热添加CPU内存热添加和删除存储设备网络设备热扩展虚拟磁盘以零停机时间横向扩展虚拟机 64GB 4个CPU 255GB 8个CPU P2VConverter 说明VMwareConverter自动将物理机 其他格式的虚拟机和第三方映像格式转换为VMware虚拟机 优势简化升级到VMwareInfrastructure的过程 物理机第三方映像格式其他虚拟机格式 虚拟机 P2VConverter 虚拟数据中心的可靠性 存储 站点 组件 服务器 避免计划内停机 最大限度地减少计划外停机 网络冗余 多路径 StorageVMotion VMotion DRS维护模式 网卡和HBA绑定 DataRecovery VMwareReady 数据保护合作伙伴 HAFaultTolerance SiteRecoveryManager 受保护站点 恢复站点 vCenter SiteRecoveryManager vCenter SiteRecoveryManager 数据存储组 数据存储组 X SiteRecoveryManager概览 SiteRecoveryManager核心功能 对灾难恢复的集中管理从单一管理点创建 测试 更新和执行恢复计划与VirtualCenter紧密集成灾难恢复自动化预先构建恢复流程自动测试恢复计划自动执行恢复流程简化的设置和集成分配和管理恢复资源与领先供应商的存储复制系统轻松集成 存储设备 服务器 虚拟机 Hypervisor Hypervisor Hypervisor Hypervisor vCenter 虚拟化的安全 虚拟化安全策略 体系结构 服务器虚拟化类型 托管虚拟化 裸机虚拟化 VMwareWorkstationVMwareServerVMwarePlayerVMwareFusion VMwareESX 主机OS改变安全配置文件 可在客户虚拟机可信时采用 即使客户虚拟机不一定可信时也可采用 体系结构 设计为隔离方式 VMwareInfrastructure3体系结构的安全性设计 ESX虚拟机管理程序 坚实可靠的基础 MSFT Xen体系结构 VMware体系结构 精简自定义内核更少补丁程序更少攻击针对VMware优化的驱动程序更为稳定直接驱动程序模型更高的I O吞吐量 大型通用操作系统频繁添加补丁更多攻击通用的第三方驱动程序欠稳定间接驱动程序模型负载时I O性能下降 Dom0 Linux 或父级虚拟机 Windows 安全实现 瘦Hypervisor ESXi紧凑的100MB占用空间更少补丁程序更小的受攻击面无需通用管理操作系统服务器上不运行任意码不易受常见威胁影响唯一不受操作系统影响的专门针对虚拟化的设计 ESXi 安全实现 平台安全强化完善的内存保护功能ASLR 随机确定核心内核模块在内存中的加载位置NX XD 将内存的可写区域标记为不可执行内核完整性数字签名 确保模块 驱动程序和应用程序在由VMkernel加载时的完整性和真实性模块签名 使ESX具备识别模块 驱动程序或应用程序的提供者以及它们是否取得VMware认证的能力 安全开发生命周期流程 全面实现安全性的方式培训体系结构风险分析 威胁建模最佳实践和遵从性要求自动和手动代码分析安全性测试响应在各阶段都让第三方专家参与 经验证 受广大用户信任 成千上万客户已在生产环境中应用已通过美国数家最大银行的安全审查并投入生产使用已通过国防和安全机构的严格审查VMware技术被选为美国国家安全局 NSA 虚拟化工作站的基础 经过独立验证 CommonCriteriaEAL认证CCEAL4 认证最高的认证级别ESX3 0已获此认证 ESX3 5即将获得针对ESX的DISASTIG获准在美国国防部 DoD 信息系统中使用NSACentralSecurityService针对数据中心和台式机方案的指导 最大的安全风险 操作 NeilMacDonald 如何安全地实施虚拟化 与在物理方案中一样 多数安全漏洞都是通过误配置和管理失误带来的 虚拟化对数据中心安全性的影响 虚拟化对数据中心安全性的影响 哪些是不必担心的 保护虚拟机安全 主机防病毒软件补丁程序管理网络入侵检测 预防 IDS IPS 边缘防火墙 提供与物理服务器一样的保护 针对虚拟化层的安全设计 基本设计原则隔离所有管理网络禁用所有不必要的服务严格规范所有管理访问 VMwareInfrastructure3安全强化指南 实施强硬的访问控制 Anne Harry Joe 安全性与遵从性管理控制 多样化而且不断壮大的产品体系有助于提供安全的VMwareInfrastructure 虚拟化的安全优势 易于维护全面推广前 可以在受控环境中针对多种配置测试补丁程序尝试某些有风险的配置前 可以使用快照保存虚拟机的已知良好状态可以将生产虚拟机克隆后离线执行修改 同时让原虚拟机保持继续运行可以将更新后的虚拟机与以前的版本并行启动可根据需要让两者都运行足够长的时间 以验证新配置 虚拟化的安全优势 易于恢复可以从上一个已知良好的备份恢复可以在隔离状态应用补丁程序 然后再联机能够执行辨证分析可在隔离状态下启动受黑客攻击的虚拟机可创建 虚拟蜜罐 vShieldZones 安全遵从性 vShieldZones vShieldZones VDCOS VDCOS 保护引擎 VirtualDataCenterOS VMsafe API通过检查与管理程序一起使用的虚拟组件来保护虚拟机将保护引擎与恶意软件隔离广泛的覆盖范围 包括虚拟机CPU 内存 存储器和网络 应用程序 操作系统 VMsafe API 用于虚拟机的所有虚拟硬件组件的APICPU 内存检查检查虚拟机或其应用程序使用的特定内存页了解CPU状态通过CPU和内存页的资源分配强制执行策略网络连接查看主机上的所有IO流量能够截取 查看 修改和复制来自一台主机上的任何或所有虚拟机的IO流量能够提供嵌入式保护或被动保护存储设备能够装入和读取虚拟磁盘 VMDK 检查对存储设备的IO读取 写入