Аппаратная поддержка виртуализации

Установка виртуализации QEMU/KVM

sudo apt remove ufw
sudo systemctl stop ufw

Установка виртуализации QEMU/KVM при установке операционной системы

См.:

• Установка виртуализации в Astra Linux Special Edition (без GUI - без ПК СВ "Брест");
• Установка виртуализации QEMU/KVM в Astra Linux Common Edition 2.12.

Установка виртуализации QEMU/KVM после установки ОС

Astra Linux Special Edition x.7 и Astra Linux Common Edition 2.12

Для автоматизированной установки системы виртуалтзации виртуализации QEMU/KVM в дистрибутивы Astra Linux включен пакет astra-kvm. Пакет может быть установлен с помощью графического менеджера пакетов (см. Графический менеджер пакетов synaptic) или из командной строки командой:

При установке этого пакета будет автоматически установлен сам Virtграфический инструмент управления виртуальными машинами virt-manager  и выполнены все действия, необходимые для установки и запуска системы виртуализации.

При установке пакетов текущий пользователь будет автоматически добавлен в группы:

• kvm;
• libvirt;
• libvirt-qemu.;

Только Кроме указанных групп в Astra Linux Special Edition если предполагается, что текущий пользователь будет работать с системой виртуализации без использования sudo, то добавить его используются группы:

• Группа libvirt-admin. Пользователи-участники этой группы могут  без использования sudo работать с с виртуальными машинами, виртуальными сетями и хранилищами данных. До установки обновления БЮЛЛЕТЕНЬ № 2023-1023SE17 (оперативное обновление 1.7.5) используется только в Astra Linux Special Edition с включенным МРД (включен по умолчанию в Усиленном и Максимальном режимах защищенности Astra Linux x.7). После установки обновления БЮЛЛЕТЕНЬ № 2023-1023SE17 (оперативное обновление 1.7.5) необходима также и при выключенном МРД. Команда для добавления пользователя в группу libvirt-admin:

  Command
  sudo usermod -a -G libvirt-admin $USER

  
  

• Специальные группы (доступны начиная с обновления БЮЛЛЕТЕНЬ № 2023-0426SE17 (оперативное обновление 1.7.4):
  
  • libvirt-dev;
  • libvirt-admvm.

admin_group = "libvirt-admin"
devel_group = "libvirt-dev"
admvm_group = "libvirt-admvm

Других пользователей, которые должны работать с виртуализацией, следует добавить в указанные группы вручную (

кроме группы libvirt-admin

в Astra Linux Common Edition):

Для того, чтобы добавление в группы вступило в силу, нужно перезапустить пользовательскую сессию. В целях тестирования для того, чтобы добавление в группы вступило в силу, можно выполнить следующую команду (потребуется ввести пароль пользователя):

Для хранения образов виртуальных машин при первом запуске графической оболочки управления виртуализацией virtmanager автоматически создается пул данных. По умолчанию этот пул данных располагается в каталоге /var/lib/libvirt/images. Дополнительные пулы данных могут быть созданы по мере необходимости.

Права доступа к управлению виртуализацией

При установке системы виртуализации в каталоге /usr/share/polkit-1/actions/ создаются два правила Polkit, предоставленные разработчиками системы виртуализации:

1. файл org.libvirt.unix.policy — описывает два глобальных разрешения по доступу к виртуальной инфраструктуре:
   • org.libvirt.unix.monitor — позволяет выполнять мониторинг виртуальной инфраструктуры;
   • org.libvirt.unix.manage — позволяет выполнять управление виртуальной инфраструктурой;
2. файл org.libvirt.api.policy — содержит список операций (например, создание ВМ, удаление виртуальной сети и т.д.), которые становятся доступны пользователям, если проверка по правилу org.libvirt.unix.policy пройдена.

Ролевой контроль прав доступа к управлению виртуализацией

Начиная с обновления БЮЛЛЕТЕНЬ № 2022-1221SE17MD (срочное оперативное обновление 1.7.3.UU.1) в Astra Linux реализован механизм ролевого управления доступом, базирующийся на применении драйвера доступа Polkit и обеспечивающий разграничение возможностей выполнения привилегированных операций со средствами виртуализации. Реализация ролевого метода управления доступом обеспечивает следующее разграничение доступа по ролям:

• разработчик виртуальной машины;
• администратор безопасности средства виртуализации;
• администратор средства виртуализации;
• администратор виртуальной машины.

Назначение ролей и полномочий осуществляется администратором средства виртуализации.

Для реализации ролевого контроля:

1. Установить пакет astra-kvm-secure:

   Command
   sudo apt install astra-kvm-secure

   При установке пакета создаются служебные группы libvirt-adm, libvirt-dev и правила, реализующие разрешения для этих групп:

   1. Правило /var/lib/polkit-1/localauthority/10-vendor.d/60-libvirt.pkla, позволяющее пользователям групп libvirt-dev, libvirt-adm и libvirt осуществлять доступ к операциям по управлению виртуальной инфраструктурой;
   2. Правила /var/lib/polkit-1/localauthority/15-libvirtd.d/.org.libvirt.api.*.pkla, определяющие конкретные разрешения для ролей.

   
   

2. После установки пакета для включения ролевого контроля:

   1. В конфигурационном файле системы виртуализации /etc/libvirt/libvirtd.conf параметру access_drivers присвоить значение [ "polkit", "parsec" ]:

      Блок кода
      access_drivers = ["polkit", "parsec" ]

      
      

   2. Перезапустить службу libvirtd, выполнив команды:
      

      Command
      sudo systemctl restart libvirtd firewalld

      
      

Для редактирования правил возможно использование графического инструмента fly-polkit-viewer.

Для настройки ролей:

1. Пользователей, реализующих роль разработчика виртуальных машин, включить в группу libvirt-dev и libvirt-admin.
2. Пользователей, реализующих роль администратора безопасности:
   1. Включить в группу libvirt-sec.
   2. Исключить из групп libvirt, libvirt-qemu, kvm.
3. Пользователей, реализующих роль администратора средства виртуализации:
   1. Включить в группы libvirt-adm, libvirt-admin и astra-admin.
   2. назначить возможность работы под высоким уровнем целостности (63).
4. Пользователей, реализующих роль администратора виртуальной машины включить в группу libvirt.

Для того, чтобы пользователи — участники группы могли выполнять команды без применения sudo создать в каталоге /etc/sudoers.d файл с разрешениями для групп, например:

%libvirt-sec ALL=(ALL:ALL) ALL
%libvirt-adm ALL=(ALL:ALL) ALL

Имя файла может быть произвольным.

Дополнительно, для разрешения доступа пользователей группы libvirt к виртуальным машинам, в графической консоли ВМ перейти в свойства ВМ и в разделе «Безопасность» задать права доступа к виртуальной машине для пользователей:
Image Added

Установка виртуализации в Astra Linux Special Edition РУСБ.10015-01 (очередное обновление 1.6),  РУСБ.10015-16 исп. 1

Для работы с системой виртуализации QEMU/KVM в Astra Linux Special Edition РУСБ.10015-01 (очередное обновление 1.6),  РУСБ.10015-16 исп. 1 необходимо установить следующие пакеты:

• libvirt-daemon-system;
• libvirt0;
• qemu-kvm.

Команда для установки:

Command
sudo apt install libvirt-daemon-system libvirt0 qemu-kvm

При установке пакетов в Astra Linux Special Edition будет создан каталог /var/lib/libvirt/images (принятый по умолчанию каталог пула данных) которому будут назначены мандатные атрибуты, достаточные для размещения в нём нем данных с ненулевыми мандатными метками:

Command
Title sudo pdp-ls -lMd /var/lib/libvirt/images
drwx--x--xm--  2 root root Уровень_3:Высокий:Категория_1,Категория_2,0xfffffffffffffffc:ccnr /var/lib/libvirt/images

Всех пользователей, которые должны работать с виртуализацией (включая текущего пользователя-администратора) следует добавить в группы:

• kvm;
• libvirt;
• libvirt-admin (Внимание! этой группы нет в Astra Linux Common Edition);
• libvirt-qemu.

Команда для добавления пользователя в группы:

Command
sudo usermod -a -G kvm,libvirt,libvirt-admin,libvirt-qemu <имя_пользователя>

Для того, чтобы добавление пользователей в группы вступило в силу, нужно перезапустить пользовательскую сессию.

Якорь
#firewalld #firewalld

Настройка межсетевого экрана после установки KVM

При установке виртуализации QEMU/KVM в Astra Linux Special Edition автоматически выполняется настройка правил маршрутизации для работы с виртуальными машинами. Для этого используется пакет firewalld. При его установке будет включен межсетевой экран, побочным эффектом чего является ограничение работы сетевых служб. Проверить разрешенные межсетевым экраном службы и порты можно командой:

Получить список известных межсетевому экрану служб можно командой:

Разрешить доступ к известной службе можно командой:

Например, для службы RDP:

Разрешить доступ к дополнительному порту (не используя имена известных служб) можно командой:

Например, для службы RDP:

После внесения изменений перезагрузить конфигурацию межсетевого экрана:

Более подробную справку по работе с межсетевым экраном см.:

Работа с QEMU/KVM

Создание виртуальных машин

Для создания виртуальных машин в Astra Linux Special Edition x.7 и Astra Linux Common Edition Орел 2Edition 2.12 можно использовать графический менеджер виртуальных машин virt-manager. Для Astra Linux Special Edition РУСБ.10152-02 Astra Linux Special Edition РУСБ.10015-01 (очередное обновление 1.6) см. статью Создание виртуальных машин средствами XML в Astra Linux Special Edition (применима также и для х.7 и 2.12).

Создание собственных пулов для пользователей

Для создания собственного пула пользователя следует создать каталог, доступный этому пользователю, например:

Для запрета добавления новых образов ВМ в пул пользователю необходимо ограничить доступ к директории правами на чтение (r-x).

Дальнейшие действия выполнять от имени пользователя - владельца пула.
Создать пул в ранее созданных каталогах можно следующими командами:

Образец диалога с выводом команд:

При работе в Astra Linux Special Edition при создании пула необходимые мандатные атрибуты будут присвоены ему автоматически (при условии, что на ОС установлено обновление безопасности БЮЛЛЕТЕНЬ № 20190222SE16 (оперативное обновление 2)). Проверить мандатные атрибуты пула можно командой:

Образец диалога:

Создать и запустить виртуальную машину с образом диска, расположенным в ранее созданном пуле командой:

Образец диалога:

Проверить статус ВМ:

Образец диалога:

Проверить параметры подключения к ВМ

Образец диалога:

Подключиться к виртуальному монитору ВМ

Сброс пользовательских настроек

Для сброса старых пользовательских настроек virt-manager удалить файл .config/dconf/user

Устранение ошибок

При появлении ошибки custom процессора нужно поставить в настройках пункт "использовать архитектуру процессора хоста".

При ошибке network 'default' not active выполнить следующие команды:

После выполнения этих команд после перезагрузки сеть network 'default' будет запускаться автоматически.

Настройка фиксированных IP-адресов

Для привязки фиксированных IP-адресов к виртуальным машинам выполнить команду:

и после строки:

<range start='192.168.122.2' end='192.168.122.254'/>

вставить строки с мак-адресами виртуальных адаптеров, например, как указано ниже:

<host mac='52:54:00:a2:99:c2' name='host1' ip='192.168.122.133'/>
<host mac='52:54:00:de:2e:58' name='host2' ip='192.168.122.134'/>

После сохранения изменений перезапустить виртуальную сеть:

Настройка "мягкого" выключения виртуальных машин в QEMU/KVM 

Для включения "мягкого" выключения на виртуальных машинах под управлением Astra Linux:

1. На хост-машине в настройках виртуальной машины добавить устройство — канал org.qemu.guest_agent.0, если это устройство не было добавлено ранее. Это можно сделать используя графический редактор менеджера виртуальных машин или используя редактор описания машин:
   

   Command
   virsh edit <имя_виртуальной_машины>

   Добавляемая настройка:
   

   Блок кода
   <channel type='unix'> <source mode='bind'/> <target type='virtio' name='org.qemu.guest_agent.0'/> </channel>

2. В самой виртуальной машине:
   1. Установить пакет qemu-guest-agent:
      

      Command
      sudo apt-get install qemu-guest-agent

   2. Запустить службу qemu-guest-agent, если она не была запущена автоматически при установке пакета:
      

      Command
      sudo systemctl start qemu-guest-agent

Примеры команд работы с виртуальными машинами

Получить список машин:

Включить автоматический запуск виртуальной машины при загрузке:

Решение возможных проблем с фильтрацией пакетов при работе с сетью

Создать в каталоге /etc/sysctl.d/ файл с любым именем и расширением .conf. Например: