服务器虚拟化是否意味着要修补和更新另一个OS层，更多的工作和更大的风险？

我进行了搜索，但未找到解决补丁程序和系统更新的任何问题。我有指导原则，说服务器需要具有必要的补丁。如果我有一台VM主机，那么即使使用裸机虚拟机管理程序，该层是否也需要修补和更新？而不是拥有金属服务器？（即，按照我的指南进行更多的工作，测试和记录）。

类型1 /裸机管理程序多久更新一次？有关系吗 它是一个额外的软件层这一事实是否会带来更多的复杂性和风险（安全性和可靠性）？（例如，99％无漏洞的软件x 99％无漏洞的软件= 98％无漏洞的系统）？

（我的实际经验是使用VMWare工作站和服务器以及VirtualBox。）

是的，像VMware之类的产品有时应该打补丁（更新是累积性的），但是补丁的发布频率不及主线操作系统，并且潜在的攻击媒介更小- 虚拟机管理程序不应公开访问。

我将以VMware ESXi版本5.0（而非5.1）为例...

ESXi 5.0具有以下更新计划：

从9/2011到现在，ESXi 5.0产品已进行了十次更新。其中，SIX是注重安全性的更新，并包含在更新包中，描述如下：

“ESXi的NFS流量分析漏洞” - CVE-2012至2448年。

这些安全漏洞是真实的，因为它们有时会反映一般的Linux安全漏洞，但是我认为大多数组织都不太容易受到这种风险的影响。不过，由工程师来评估这种风险。您的用户是否希望大量停机来修复以下漏洞？

“ ncpmount和mount.cifs使用的GNU C库（aka glibc或libc6）2.11.1及更早版本中misc / mntent_r.c中的encode_name宏不能正确处理安装点名称中的换行符，从而允许本地用户通过精心制作的安装请求导致拒绝服务（mtab损坏），或可能修改安装选项并获得特权。”

也许？也许不吧。

我运行VMware的Update Manager，但只有在受到错误影响或需要功能增强时才倾向于更新。在群集设置中运行时，修补很容易，而且不会中断正在运行的VM。如果没有其他紧迫的原因，我将努力每季度更新一次。单个主机将要求完全重新启动，因为这些修补程序以整体映像的形式提供。

附带说明一下，每当我继承VMware ESXi设置或在我通常不管理的系统上工作时，我经常会看到运行的主机从未应用过任何VMware补丁程序。那是错的！！但是我可以看到，一旦系统启动并运行，管理员将如何犯该错误。

如果您不熟悉“裸机”主机，这是一个很好的问题。以这种方式进行操作需要与您在传统OS上作为服务/应用程序运行的虚拟机管理程序所采用的方法不同的心态。

根据我的经验，这可能公平地说，ESX和Hyper-V的需求较少比传统的操作系统打补丁的整体。这并不意味着他们根本不需要补丁，或者不管“需要”而应用某些补丁都无济于事，但这意味着对您的服务进行主机中断的频率应该较低，并且在您的控制之下。与其他任何虚拟机管理程序操作系统一样，虚拟机管理程序操作系统也存在潜在的安全风险，尽管您可以最大程度地降低这种风险的暴露（例如，仅将虚拟机管理程序管理暴露在逻辑上无法从受感染服务器访问的孤立VLAN上）假装根本没有风险是愚蠢的。

因此，例如，如果您有4个非虚拟服务器，并且将它们全部移到同一台单独的虚拟主机，那么是的，您正在增加可能因需要修补主机系统（或处理主机系统）而导致的中断数量。硬件问题等）。

虽然我建议发生这种风险的机会相对较低（我说的是修补虚拟主机与需要重新启动（无论如何都要对独立系统执行的修补）之间的区别），毫无疑问，影响很大。

那我们为什么要这样做呢？

虚拟化的真正好处在于能够设置多个主机并配置这些主机以使其协同工作，从而在一个主机发生故障或您希望在其上调度补丁的情况下，将来宾从一台主机转移到另一台主机主机系统。

使用这种方法，我设法依次对5台ESX主机进行了修补，而这些主机上运行的40台虚拟服务器完全没有中断。这仅是规模经济的问题-一旦您拥有足够的潜在虚拟访客计算机，使其值得构建这种复杂的设置并使用@ewwhite在他的回答中提到的工具进行管理，则降低风险的回报您担心到达很快。

虚拟服务器将需要与物理服务器相同的维护和补丁程序，裸机虚拟机管理程序将需要更新，以确保安全性，还需要修复错误并提高性能。您拥有的服务器越多，就需要进行更多的工作以使其保持最新状态，无论它们是物理的还是虚拟的都没有关系。

根据上述答案，似乎：虚拟化服务器已在安全性和可靠性方面引入了更多的复杂性和风险，但是需要权衡这些好处与通过虚拟化服务器来减少停机时间的好处。

如果您的环境需要审核，测试和文档，则必须根据您拥有的服务器和系统人员的数量来考虑虚拟化环境增加的工作负载的成本效益。在我们的环境中，我们没有员工/员工时间来维护虚拟化环境的审核跟踪。在我们的业务流程中，我们可能会花费一些停机时间，但是我们不能错过审计跟踪和文档。