四、采用嵌入式管理程序

　　服务器上的虚拟机管理程序层充当虚拟机的基础。VMware近期宣布推出的ESX Server 3i虚拟机管理程序的独特之处在于不包括通用操作系统。出于安全上的考虑，它采用了精简设计，只占用32MB空间。

　　像戴尔和惠普这些硬件厂商表示，它们会在物理服务器上交付像VMware这种虚拟机管理程序的嵌入式版本。基本上，嵌入式虚拟机管理程序因为比较小，所以比较安全。

　　专家认为，嵌入式虚拟机管理程序是将来的一大趋势。不但从未涉足过这个领域的一些公司会提供嵌入式虚拟机管理程序，大多数服务器厂商也会提供。BIOS软件领域的市场领导厂商Phoenix Technologies近期宣布: 进入虚拟机管理程序领域，首先会推出名为HyperCore的产品，即面向桌面和笔记本电脑的虚拟机管理程序。用户开机后，可以使用网络浏览器和电子邮件等客户软件，无须等待启动Windows(HyperCore将被嵌入到电脑的BIOS中)。

　　虚拟机管理程序市场的竞争和创新对企业来说是好事。最终可能出现的结果是，许多公司会竞相提供最精简、最智能的虚拟机管理程序软件。Hoff说：“无论是Phoenix还是其他厂商，会出现备受关注的竞争，这些虚拟机管理程序都希望成为下一个优秀的操作系统。”

　　五、限制访问虚拟机权限

　　如果赋予了访问虚拟机的管理员级别权限，也就是赋予了访问该虚拟机上所有数据的权限。伯顿集团的Wolf建议，要慎重考虑员工需要哪种账户和访问权限。更复杂的问题是，有些第三方厂商针对虚拟机的存储和备份安全的建议是过时的。Wolf又说：“有些厂商甚至本身就没有遵守VMware针对VMware Consolidated Backup的非常好的实践。”

　　Arch Coal的信息安全管理员Paul Telle说，总体而言，公司特别注意限制访问虚拟机的管理员权限。他指出，公司里只有一小部分人才拥有这样的权限。

　　应用开发人员应该只有最小的访问权限。“我们的应用开发人员可以访问共享区域，这是最小的访问权限。他们无法访问操作系统。”他说，这有助于控制虚拟机数量激增，同时增强了安全性。

　　六、留意存储资源

　　有些企业在SAN上提供过多的存储资源，这就可能错误地让虚拟机的共享区域成为SAN的一部分。

　　如果使用VMware移动虚拟机的工具VMotion，会在SAN上分配一些分区存储资源。 但还要细化存储资源的分配，就像在物理环境下那样。展望未来，N-port ID虚拟化技术是一个选择，这项技术可以只为一个虚拟机分配存储资源。

　　七、隔离网段

　　企业走上虚拟化道路，不该忽视与安全有关的网络流量风险。但其中一些风险很容易被忽视，如果在进行虚拟化规划时没有网络和安全人员参与，更是如此。Wolf说：“许多企业只是把性能作为合并服务器的度量标准。”

　　举例说，有些CIO绝对不允许任何虚拟服务器出现在“非军事区(DMZ)”。(DMZ是存放外部服务到互联网的子网络，就像电子商务服务器一样，它在互联网和局域网之间增加了缓冲区)。

　　Wolf说，要是DMZ里面果真有几个虚拟机，就要放在与一部分旧系统(如关键的Oracle数据库服务器)分开在的独立网段上。

　　Abbene说，在Arch Coal公司，IT团队一开始就考虑到了DMZ。他们把虚拟服务器部署在内部局域网上，不面向公众。Abbene说：“这是一个关键的决定。”举例说，公司在DMZ里面有几台安全的FTP服务器以及几台从事简单电子商务的服务器，公司不打算把虚拟机部署到里面。

　　八、注意交换机

　　什么时候交换机不是交换机?Wolf说：“有些虚拟交换机的工作方式类似集线器，每个端口镜像到虚拟交换机上的所有其他端口。”特别是如今的微软Virtual Server带来了这个问题。VMware的ESX Sserver不会，思杰的XenServer也不会。他说：“人们一听到‘交换机’，就认为有隔离机制。这其实视厂商而定。”

　　九、监控“非法”虚拟机

　　要担心的不仅仅是服务器。Wolf说：“最大的威胁在客户端上—非法虚拟机(rogue VM)。” 那么，什么是非法虚拟机?用户能够下载及使用VMware Player这样的免费程序，会让桌面和笔记本电脑用户可以运行由VMware Workstation、Server或者ESX Server创建的任何虚拟机。

　　如今许多用户喜欢在桌面或者笔记本电脑上使用虚拟机分开各部分工作，或者分开公事与私事。 有些人使用VMware Player在一个机器上运行多个操作系统。 比如使用Linux作为基本操作系统，却创建一个虚拟机来运行Windows应用。

　　Wolf说：“这些虚拟机甚至没有打上相应的补丁。那些系统暴露在网络上因而所有未加管理的操作系统易受攻击。”

　　这会增添很多风险：运行非法虚拟机的机器可能会传播病毒。更糟糕的是，可能还会传播到物理网络上。举例说，有些人就很容易加载DHCP服务器以便分配虚假IP地址。这实际上就是一种拒绝服务攻击。至少，会把IT资源浪费在查明问题上。甚至有可能是简单的用户错误，也会给网络带来不必要的负担。

　　那么如何防范非法虚拟机呢?首先应当加以控制，规定谁可以获得VMware Workstation(因为创建虚拟机需要它)。IT部门还可以使用群组安全策略来防止某些可执行程序运行，比如安装VM Player所需的可执行程序。另一个选择是，定期审查用户的硬驱。需要找出装有虚拟机的机器，然后标记出来，以便IT部门采取适当行动。

　　这是不是已成了用户和IT部门之间的另一个争论点—精通技术的用户需要在公司能像在家里那样使用虚拟机?Wolf说还没有。他说：“大部分IT部门对此置之不理。”

　　如果允许用户在电脑上运行虚拟机，VMware的Lab Manager及其他管理工具可以帮助IT部门控制及监管这些虚拟机。

　　十、做好虚拟化安全预算

　　IDC的Elliott说：“确保分配好虚拟化安全和管理方面的预算。”Arch Coal公司的Abbene指出，可能不需要在安全预算中为虚拟化安全单列预算，但全部安全预算最好为它留出足够多的资金。

　　另外，在估算虚拟化的投资回报时要留意安全成本。Hoff指出，对越来越多的服务器进行虚拟化处理，并不会使安全开支有所降低，因为需要运用现有的安全工具来管理每个虚拟机。如果没有预料到这笔开支，可能会减少投资回报。

　　据Gartner声称，这是目前常犯的一个错误。据Gartner的副总裁Neil MacDonald声称，2009年，部署的虚拟化技术大约有90%面临未预料到的成本，比如安全成本等，这会影响投资回报。