Veeam 术语表
什么是虚拟机管理程序？

什么是虚拟机管理程序？

虚拟机管理程序是一种虚拟化工具，允许单个主机运行多个来宾虚拟机，并共享处理器线程、内存或网络吞吐量等资源。简单来说，虚拟机管理程序抽象出主机的硬件，允许多个操作系统同时在一台计算机上高效运行。

虚拟机管理程序的常见示例包括 VMware Workstation / VMware ESXi、Windows Virtual PC / Microsoft Hyper-V、Xen 和 KVM。这些工具的目的都是允许多个来宾虚拟机在单个硬件上运行。来宾可能都运行相同的操作系统，也可以运行不同的操作系统。

虚拟机管理程序如何工作？

虚拟机管理程序充当将计算机软件从其硬件中抽象出来的层。它们允许每个虚拟机的操作系统都表现得好像是在专用硬件上运行一样，并将该操作系统的请求传递到主机。

一些虚拟机管理程序内置于主机设备的固件中，而另一些则在主机的操作系统上运行。虚拟机管理程序的任务是管理虚拟机与底层硬件之间的通信。

例如，假设您是一名运行 Mac OS X 的软件开发人员。您需要在 Windows 和 Linux 上测试您的应用程序。您可以使用第 2 类（托管）虚拟机管理程序在 Mac 上运行 Linux 和 Windows 11 虚拟机。如果 Mac 功能足够强大，您可以同时运行这两个虚拟机，并在它们和主开发环境之间按 Tab 键。虚拟机管理程序管理处理器线程和内存的分配，并创建虚拟驱动器，这些虚拟驱动器以文件形式存在于主机操作系统的文件系统中。

虚拟机管理程序类型

虚拟机管理程序可分为两大类：裸机虚拟机管理程序和托管虚拟机管理程序。

裸机虚拟机管理程序

顾名思义，裸机虚拟机管理程序直接在主机上运行。这些虚拟机管理程序通常称为第 1 类虚拟机管理程序，包含所有必需的操作系统组件和虚拟机管理程序。它们是部署最多的选项。裸机虚拟机管理程序没有主机操作系统。此虚拟机管理程序会转换每个来宾虚拟机的资源访问请求，并支持它们更直接地访问主机硬件。

裸机虚拟机管理程序具有一些安全优势，因为它们的攻击面较小。此外，由于单独运行虚拟机管理程序的开销低于运行操作系统的开销，因此它们还具有性能优势。这使得第 1 类虚拟机管理程序成为数据中心和企业托管的热门选择，这些数据中心和企业托管的首要任务是确保高性能以及能够在主机上运行尽可能多的虚拟机。Microsoft 的 Hyper-V 技术是裸机虚拟机管理程序的一个示例，其性能远高于基于软件的传统（第 2 类）虚拟机管理程序，如 IBM 早期投入到虚拟化领域的虚拟机管理程序。

托管虚拟机管理程序

托管虚拟机管理程序或第 2 类虚拟机管理程序是在主机操作系统上运行的虚拟机管理程序。它们比裸机虚拟机管理程序具有更高的延迟，因此在数据中心环境中不太常用。但对于需要在各种环境中运行应用程序的软件开发人员、测试人员和安全研究人员来说，它们非常有用。

托管虚拟机管理程序有时被用作将预配置环境部署到多台机器的一种方式。开发人员可以按照他们想要的方式配置他们的计算机，并在具有可预测配置的虚拟机中测试他们的工作。 

为何使用虚拟机管理程序？ 

虚拟机管理程序是以下方面的明智选择：

解决基础架构层面的问题
在单个硬件上运行多个操作系统
运行传统软件
创建沙盒环境
创建易于暂停、挂起或移动到其他硬件的有状态虚拟机

有时，运行虚拟机管理程序和整个虚拟机并非最佳解决方案。由于每个虚拟机都运行自己的操作系统，因此它们非常占用资源。对于开发人员或系统管理员需要快速部署更轻量级沙盒环境的情况，容器正变得越来越流行。

如果出现以下情况，请考虑使用容器：

您希望获得沙盒的安全优势，但不需要复制整个操作系统
您正在运行无状态微服务
您需要的所有应用程序都可以在同一操作系统上运行

安全注意事项

虚拟机管理程序通常非常安全。但是，系统管理员应注意一些问题。例如，2018 年发现的 Spectre 和 Meltdown 攻击的目标是底层硬件中的漏洞。即使在今天，这些漏洞仍然存在，因此及时了解 BIOS 和虚拟机管理程序软件补丁非常重要。

另一个重要的考虑因素是如何管理虚拟机管理程序。限制对虚拟机管理程序主机和管理软件的访问。启用日志记录，以便您可以查看谁在访问虚拟机管理程序主机以及他们所做的任何更改。请记住，如果来宾虚拟机遭到攻击，任何损坏都应仅限于该机器及其上运行的服务。但是，如果虚拟机管理程序主机遭到入侵，则攻击者可能会获得对虚拟机管理程序上运行的任何内容的特权访问权限。

保护来宾机器的一种方法是对它们进行加密。这不仅可以限制外部攻击者在成功访问虚拟机管理程序主机后所能看到的内容，使其生存更加困难，而且还可以防范内部威胁。如果您的虚拟驱动器未加密，恶意系统管理员可能会制作这些驱动器的副本，以便在闲暇时读取。对驱动器进行加密会使它们在目标端时不可读。仍然可以备份加密的虚拟机，但备份只有在正确的来宾操作系统中挂载时才可读。