当您初次登录到 developerWorks 时，将会为您创建一份概要信息。您在 developerWorks 概要信息中选择公开的信息将公开显示给其他人，但您可以随时修改这些信息的显示状态。您的姓名（除非选择隐藏）和昵称将和您在 developerWorks 发布的内容一同显示。

所有提交的信息确保安全。

当您初次登录到 developerWorks 时，将会为您创建一份概要信息，您需要指定一个昵称。您的昵称将和您在 developerWorks 发布的内容显示在一起。

昵称长度在 3 至 31 个字符之间。您的昵称在 developerWorks 社区中必须是唯一的，并且出于隐私保护的原因，不能是您的电子邮件地址。

所有提交的信息确保安全。

My developerWorks:

我的通知：

退出

选择语言：

通过 PowerVM Hypervisor 保证整合系统的安全

Ryan Rhodes, 新闻编辑, IBM Systems Magazine

Ryan Rhodes 是 IBM Systems Magazine 的新闻编辑。

简介： 今秋发布的 PowerSC 必将成为一个重要的产品，其中最大的亮点是针对在虚拟与云环境中运行 AIX 的 Power Systems 服务器的新安全性解决方案。然而，它对于进一步研究其他高级 PowerVM Hypervisor 安全特性具有指导意义，这些安全特性使客户能够保护其更广泛的 IT 基础架构。所有的 Power Systems 安全特性，无论是历史悠久的还是相对较新的，均构建在现有的 PowerVM Hypervisor 和架构的坚固基础上。

标记本文！

发布日期： 2011 年 12 月 20 日
访问情况： 894 次浏览
评论：

IBM Power Systems Software 安全架构设计师 Shawn Mullen 表示：“在设计和构造 PowerVM 技术时，从一开始我们就考虑到了安全性，从芯片到固件如何与其接口，再到管理程序，一直到操作系统，自上而下的各个级别都考虑到了安全性架构。随着新安全特性的推出，重要的一点是需谨记它们都是基于 PowerVM 技术的坚固安全性基础”。

用于整合的安全系统

随着全球的数据中心都继续朝着向服务器和系统整合的趋势发展，一些公司都挣扎于一个平台上容纳多个虚拟服务器这一内在的安全性现实。

随着昔日不断蔓延的数据中心复杂性（其中有许多现在依然存在），独立的计算机和服务器被物理空间隔离开。这形成了所谓的气隙（air-gap）安全：如果一个系统被攻破，黑客或恶意程序很难甚至几乎不能跳到相邻的系统。

然而，服务器整合融合了这些独立的系统，将其移动到一个虚拟分隔的单一物理平台上。各个系统依然存在，拥有自己的应用程序、操作系统等，然而，它们都在同一台设备上。尽管优势非常明显，但是整合后的系统会导致安全问题。客户通常寻求一种保证，即：一个虚拟系统上的恶意路由不能在另一个相邻的虚拟系统上使用。在这方面，PowerVM Hypervisor 级的 Power Systems 服务器是解除此类顾虑的理想选择。

Mullen 表示：“这正是讨论我们的管理程序及其保证安全隔离功能的切入点，还强调了我们的整个固件都具有强大的安全性架构，能够保证所有的操作系统都隔离开，并进行了配置，当一个虚拟机遭到破坏时相邻的虚拟机不会被损坏”。

IBM PowerVM Hypervisor 高级技术人员 Pete Heyrman 补充道：“许多客户倾向于把目光投向整合解决方案，因此，我们一直针对大部分的安全性工作。我们致力于确保虚拟机隔离坚如磐石，使客户能够采用许多单独的服务器，将其合并到一个更大的服务器，并仍然保持其安全性。”

据 Mullen 所述，客户还表示了对整合给系统管理领域带来的安全性担忧。对整合后的系统的管理不同于独立物理单元网络。在独立服务器的分散环境中，每个系统都分配了自己的管理员，这些管理员只能访问该系统及其组件（例如：数据库）。系统之间清晰的运行隔离度由于虚拟化而变得模糊。虚拟系统管理员可能影响在同一系统上运行的任何客户操作系统。Power Systems 技术再次解决了这一安全性问题。

Mullen 表示：“我们管理虚拟系统的方式是通过 HMC（硬件管理控制台），在其中我们部署了大量的 RBAC（基于角色的访问控制），这可以允许管理员访问 HMC，但是他或她只能影响到分配给自己的客户操作系统的配置。这样，当客户将物理系统迁移到效率更高、更具成本效益的整合虚拟环境时，能够保持其运行流程、任务和职责”。

回页首

Hypervisor：完美的安全记录 :

虽然 PowerVM 技术是向 Power Systems 客户提供企业级虚拟功能的引擎，然而 PowerVM Hypervisor 是协调和管理系统虚拟化的执行程序，提供无与伦比的强大的安全性。PowerVM 技术和管理程序配合地相当默契，因为它们是一起设计和架构的。

Heyrman 表示：“与大多数竞争对手相比，我们有优势，因为我们能够同时构建硬件和管理程序，因此我们能够将安全性深入到系统的基础。此外，硬件和管理程序由共同的团队进行设计，而同类竞争解决方案却并非如此。这种一体化和同步串联开发能够真正地提高安全性，并确保没有漏洞”。

PowerVM Hypervisor 的安全性到底怎样？其“完美性”如何？据 Mullen 所述，它拥有完美的安全记录，迄今为止没有任何关于安全漏洞的报告 (http://cve.mitre.org/cgi-bin/cvekey.cgi?keyword=PowerVM)。相比之下，VMware 有 437 个关于漏洞的报告 (http://cve.mitre.org/cgi-bin/cvekey.cgi?keyword=VMware)。

Heyrman 表示：“这种完美的安全记录对于客户来说是一个重要的证明。为什么要选择其他的虚拟化解决方案呢？对于处理敏感数据的公司来说，安全性是重要的考虑因素。”

Mullen 表示，这是非常重要的一点。“假设您的管理程序上运行着大约 100 个客户操作系统或虚拟机，如果管理程序中存在一个漏洞，那么这些客户操作系统和虚拟机都会有风险”。管理程序补丁将会中断所有操作系统，可能会影响数万个用户。他表示：“你不希望自己的管理程序上有关键的软件漏洞需要修补”。漏洞需要立即修补；不能等待缓慢的假日流量。Mullen 表示：“拥有一个没有漏洞的系统是很有意义” 。

此外，管理程序支持实现强大的实现隔离的行业标准方法，如虚拟局域网 (VLAN) 技术。管理程序 VLAN 方法的一个强大的优势是更加安全。无法窥探发送的流量类型，因为流量是直接在分区之间移动，而不是通过物理以太网线或具有类似薄弱点的 LAN 发送。

Heyrman 表示：“使用 VLAN 或虚拟以太网在同一个框架中整合到多个分区时，会从根本上减少安全风险”。

回页首

其他安全性注意事项

Power Systems 硬件和软件的架构还考虑了许多主要和次要的安全性因素。整个安全性生态系统扩展到 AIX OS 本身，其中包括加密文件系统 (EFS) 技术。

在考虑云环境和虚拟数据中心时，EFS 具有特殊的价值，在云环境和虚拟数据中心内，数据基本上位于远程存储区网络的磁盘上。EFS 确保此类数据被加密，在通过网络和虚拟层时保持加密状态。只有当数据到达适当的客户机操作系统时才会被解密。同样，离开客户操作系统内存的数据会被再次加密。

IBM 技术人员 Jennifer Monk 表示：“因此，如果您的磁盘被盗，或者有一个中间人试图捕捉您的磁盘 I/O，您都能确保自己的数据受到强大的加密保护。此外还提供了便捷的备份功能，因为您能够以加密的形式备份您的磁盘，这样，即使该数据备份丢失或被盗也不必担心敏感数据被暴露”。

此外，在加密领域，Internet Protocol Security 和 VPN 功能能够在网络流量进入或离开客户操作系统内存时为其提供保护和安全。同样，这种功能扩展到新兴的云环境市场。

同样，IBM 通过独特的签名对其所有的固件映像都进行了数字签名，因此，客户能够确保发布的修复程序和更新确实是由 IBM 提供。 Heyrman 表示：“当您获得软件的最新更新时，您想要确保它没有被破坏或修改，这是增加到 PowerVM 虚拟解决方案的整体安全性中的另一个安全层”。

回页首

Power 就是安全性

当涉及到安全性时，Power Systems 技术没有区别。

Heyrman 表示：“无论您购买的是最便宜的还是最贵的，我们都保证提供相同的分区隔离功能。Power Systems 服务器就是 Power Systems 服务器，它们都获得同样的安全性处理”。

本文的英文原文最先在 IBM Systems Magazine 在线网站（www.ibmsystemsmag.com）上发布。

参考资料

学习

“AIX 安全命令”（developerWorks，2008 年 9 月）：安全性是 AIX 操作系统的一个重要方面。阅读这个有关 AIX 安全命令的快速参考指南以了解更多信息。
“AIX 安全：了解基础知识”（developerWorks，2011 年 11 月）：全面了解如何保护您 AIX 系统的安全，包括 LDAP 服务器。
AIX and UNIX 专区：developerWorks 的“AIX and UNIX 专区”提供了大量与 AIX 系统管理的所有方面相关的信息，您可以利用它们来扩展自己的 UNIX 技能。
AIX and UNIX 新手入门：访问“AIX and UNIX 新手入门”页面可了解更多关于 AIX 和 UNIX 的内容。
AIX and UNIX 专题汇总：AIX and UNIX 专区已经为您推出了很多的技术专题，为您总结了很多热门的知识点。我们在后面还会继续推出很多相关的热门专题给您，为了方便您的访问，我们在这里为您把本专区的所有专题进行汇总，让您更方便的找到您需要的内容。
AIX and UNIX 下载中心：在这里你可以下载到可以运行在 AIX 或者是 UNIX 系统上的 IBM 服务器软件以及工具，让您可以提前免费试用他们的强大功能。
IBM Systems Magazine for AIX 中文版：本杂志的内容更加关注于趋势和企业级架构应用方面的内容，同时对于新兴的技术、产品、应用方式等也有很深入的探讨。IBM Systems Magazine 的内容都是由十分资深的业内人士撰写的，包括 IBM 的合作伙伴、IBM 的主机工程师以及高级管理人员。所以，从这些内容中，您可以了解到更高层次的应用理念，让您在选择和应用 IBM 系统时有一个更好的认识。