6.13 系統虛擬化安全性

6.13.1 一般要求

云服務商應：

a）提供實時的虛擬機監控機制，通過帶內或帶外的技術手段對虛擬機的運行狀態、資源占用、遷移等信息進行監控。

b）確保虛擬機的鏡像安全，并保證：

1）提供虛擬機鏡像文件完整性校驗功能，防止虛擬機鏡像被惡意篡改。

2）采取有關措施保證邏輯卷同一時刻只能被一個虛擬機掛載。

c）實現虛擬化平臺的資源隔離，并保證：

1）每個虛擬機都能獲得相對獨立的物理資源，并能屏蔽虛擬資源故障，確保某個虛擬機崩潰后不影響虛擬機監控器（Hypervisor）及其他虛擬機。

2）虛擬機只能訪問分配給該虛擬機的物理磁盤。

3）不同虛擬機之間的虛擬CPU（vCPU）指令實現隔離。

4）不同虛擬機之間實現內存隔離。

5）虛擬機的內存被釋放或再分配給其他虛擬機前得到完全釋放。

d）提供資源隔離失敗后的告警措施。

e）支持虛擬機安全隔離，在虛擬機監控器（Hypervisor）層提供虛擬機與物理機之間的安全隔離措施，控制虛擬機之間以及虛擬機和物理機之間所有的數據通信。

f）提供虛擬化平臺操作管理員權限分離機制，設置網絡管理、賬戶管理、系統管理等不同的管理員賬戶。

g）將虛擬化平臺的各類操作和事件作為可審計事件，進行記錄和追溯。

h）確保虛擬鏡像模板的配置正確性，并明確模板的譜系來源。

6.13.2 增強要求

云服務商應：

a）確保虛擬化平臺的管理命令采用加密協議進行傳輸。

b）提供虛擬機跨物理機遷移過程中的保護措施。

c）提供對虛擬機所在物理機范圍進行指定或限定的能力。

d）提供虛擬機鏡像文件加密功能，防止虛擬機鏡像文件數據被非授權訪問。

e）對虛擬機模版文件、配置文件等重要數據進行完整性檢測。