本文向您介绍Hypervisor安全的相关知识。 Hypervisor Hypervisor是一种运行在物理机上的软件,可以在单个物理机上创建、运行和管理多个虚拟机。Hypervisor根据需要将底层物理计算资源(如CPU、内存)进行抽象统一管理,并按需将资源分配给各个虚拟机。Hypervisor实现了同一物理机上不同虚拟机之间的资源隔离,避免数据窃取或恶意攻击,同时保证虚拟机的资源使用不受周边虚拟机的影响。用户使用虚拟机时,只能访问属于自己的虚拟机的资源(如硬件、软件和数据),不能访问其他虚拟机的资源,保证了虚拟机的数据隔离和安全。 CPU隔离 CPU虚拟化是Hypervisor中最核心的部分,内存虚拟化和IO虚拟化都依赖于CPU虚拟化的正确实现。 X86架构中为了保护指令的运行,提供了指令的4个不同特权级别,术语称为Ring,优先级从高到低依次为: 1. Ring 0:最高特权级别,被用于运行操作系统内核。 2. Ring 1:用于操作系统服务。 3. Ring 2:用于操作系统服务。 4. Ring 3:用于应用程序。 Hypervisor运行在最高特权级别,可以控制物理处理器上的所有关键资源;而虚拟机操作系统运行在非最高级特权级别,所以其访问物理资源的敏感指令会陷入到Hypervisor中通过软件的方式进行模拟。通过拦截并模拟虚拟机的敏感指令,Hypervisor实现了虚拟机vCPU的隔离,有效防止了虚拟机越权恶意攻击物理机或其他虚拟机。
创建前台应用构建任务 1. 登录ServiceStage控制台,选择“持续交付 > 构建”,单击“基于源码构建”。 2. 在新页面填写参数。 a. “名称”:设置为“weathermapweb”。 b. “企业项目”:使用默认。 c. “代码源来源”:选择“GitHub”。 d. “授权信息”:设置授权信息。 e. “用户名/组织”:选择您的GitHub帐号。 f. “仓库名称”:选择weathermap。 g. “分支”:选择“master”。 h. “构建集群”:选择资源准备创建的CCE集群用于构建。 3. 单击“下一步”,选择Docker构建模板,并在必填项参数配置进行以下设置。 a 编译Docker,添加一条构建任务,参数设置如下。 Dockerfile路径 镜像名称 ./weathermapweb/ weathermapweb b 设置镜像归档。 “仓库组织”选择创建组织创建的组织名称。其他参数无需修改。该任务成功后,镜像包会自动归档到镜像仓库,供后续步骤使用。 4. 单击“构建”,启动构建任务。 构建结果 应用构建成功,如下图所示。