12 连接和授权 #

创建应该拥有套接字的组（如果不存在）：

> sudo groupadd libvirt

重要：组需要存在

在重启动 libvirtd 之前，该组必须存在。否则，重启动将会失败。

将所需用户添加到该组：

> sudo usermod --append --groups libvirt tux

如下所示在 /etc/libvirt/libvirtd.conf 中更改配置：

unix_sock_group = "libvirt"1
unix_sock_rw_perms = "0770"2
auth_unix_rw = "none"3

重启动 libvirtd:

> sudo systemctl start libvirtd

如下所示在 /etc/libvirt/libvirtd.conf 中更改配置：

1. 要为 TCP 连接启用 SASL，请使用以下配置：

   auth_tcp = "sasl"

2. 要为 TLS/SSL 连接启用 SASL，请使用以下配置：：

   auth_tls = "sasl"

重启动 libvirtd:

> sudo systemctl restart libvirtd

libvirt SASL 配置文件位于 /etc/sasl2/libvirtd.conf。通常无需更改默认设置。但是，如果在 TLS 上使用 SASL，您可以通过将设置 mech_list 参数的行注释掉，来关闭会话加密以避免额外的开销（TLS 连接已加密）。请仅对 TLS/SASL 执行此操作。对于 TCP 连接，此参数必须设置为 digest-md5。

#mech_list: digest-md5

默认不会配置任何 SASL 用户，因此无法登录。使用以下命令可管理用户：

创建 SASL 配置文件。建议使用现有的 libvirt 文件。如果您已经为 libvirt 配置 SASL，并打算使用相同的设置（包括同一用户名和口令数据库），则使用简单的链接即可：

> sudo ln -s /etc/sasl2/libvirt.conf /etc/sasl2/qemu.conf

如果您只是为 VNC 设置 SASL，或者打算使用与 libvirt 不同的配置，请复制现有文件以用作模板：

> sudo cp /etc/sasl2/libvirt.conf /etc/sasl2/qemu.conf

然后根据需要编辑该文件。

如下所示在 /etc/libvirt/qemu.conf 中更改配置：

vnc_listen = "0.0.0.0"
vnc_sasl = 1
sasldb_path: /etc/libvirt/qemu_passwd.db

第一个参数使 VNC 监听所有公共接口（而不仅仅是本地主机），第二个参数启用 SASL 身份验证。

默认不会配置任何 SASL 用户，因此无法登录。使用以下命令可管理用户：

重启动 libvirtd:

> sudo systemctl restart libvirtd

重启动在更改配置之前已在运行的所有 VM Guest。未重启动的 VM Guest 无法对 VNC 连接使用 SASL 身份验证。

如下所示在 /etc/libvirt/qemu.conf 中更改配置：

vnc_listen = "0.0.0.0"
vnc_password = "PASSWORD"

第一个参数使 VNC 监听所有公共接口（而不仅仅是本地主机），第二个参数设置口令。口令的最大长度为八个字符。

重启动 libvirtd:

> sudo systemctl restart libvirtd

重启动在更改配置之前已在运行的所有 VM Guest。未重启动的 VM Guest 无法对 VNC 连接使用口令身份验证。

按如下所示在 /etc/libvirt/qemu.conf 中更改配置，使 VNC 监听所有公共接口（而不仅仅是本地主机）。

vnc_listen = "0.0.0.0"

在编辑器中打开 VM Guest 的 XML 配置文件。请将以下示例中的 VM_NAME 替换为 VM Guest 的名称。使用的编辑器默认为 $EDITOR。如果未设置该变量，则使用 vi。

> virsh edit VM_NAME

搜索包含 type='vnc' 属性的 <graphics> 元素，例如：

<graphics type='vnc' port='-1' autoport='yes'/>

添加 passwd=PASSWORD 属性，然后保存文件并退出编辑器。口令的最大长度为八个字符。

<graphics type='vnc' port='-1' autoport='yes' passwd='PASSWORD'/>

重启动 libvirtd:

> sudo systemctl restart libvirtd

重启动在更改配置之前已在运行的所有 VM Guest。未重启动的 VM Guest 无法对 VNC 连接使用口令身份验证。

创建服务器证书，然后将其连同相应的 CA 证书一并导出。

在 VM 主机服务器上创建以下目录：

> sudo mkdir -p /etc/pki/CA/ /etc/pki/libvirt/private/

按如下所示安装证书：

> sudo /etc/pki/CA/cacert.pem
> sudo /etc/pki/libvirt/servercert.pem
> sudo /etc/pki/libvirt/private/serverkey.pem

重要：限制对证书的访问

确保按照第 12.3.2.5 节 “限制访问（安全考虑因素）”中所述限制对证书的访问。

通过启用相关套接字并重启动 libvirtd 来启用 TLS 支持：

> sudo systemctl stop libvirtd.service
> sudo systemctl enable --now libvirtd-tls.socket
> sudo systemctl start libvirtd.service

默认情况下，libvirt 使用 TCP 端口 16514 来接受 TLS 安全连接。请在防火墙中打开此端口。

创建客户端证书，然后将其连同相应的 CA 证书一并导出。

在客户端上创建以下目录：

> sudo mkdir -p /etc/pki/CA/ /etc/pki/libvirt/private/

按如下所示安装证书：

> sudo /etc/pki/CA/cacert.pem
> sudo /etc/pki/libvirt/clientcert.pem
> sudo /etc/pki/libvirt/private/clientkey.pem

重要：限制对证书的访问

确保按照第 12.3.2.5 节 “限制访问（安全考虑因素）”中所述限制对证书的访问。

发出以下命令测试客户端/服务器设置。请将 mercury.example.com 替换为您的 VM 主机服务器名称。指定在创建服务器证书时所用的完全限定主机名。

#QEMU/KVM
virsh -c qemu+tls://mercury.example.com/system list --all

#Xen
virsh -c xen+tls://mercury.example.com/system list --all

如果您的设置正确，则您可以看到 VM 主机服务器上已在 libvirt 中注册的所有 VM Guest。