有谁知道有一种方法可以将 dom0（即命令xm）的使用限制为特定的命令子集？就我而言，我想阻止 dom0 用户执行除恢复已保存的 domU 之外的任何事情。
我猜想，由于您需要 root 权限才能使用该xm工具，因此我无法限制权限。我很乐意听听有关实现我的目标的其他方法的想法。
答案1
如果不修改 xend 以不支持某些操作，您就无法阻止有权访问 dom0 的人启动新的 domU，因为想要启动新 domU 的人只需发出 API 命令即可。老实说，限制 xm 命令有点危险，因为 domU 可能会崩溃，需要重新启动。
此外，如果某个人不能信任他不会在不合适的时刻启动虚拟机，而他又拥有您 dom0 的 root 权限，那么我真的认为您的权限优先级太疯狂了。相反，请考虑将需要执行这些有限操作的用户限制为非 root 用户，并提供一个支持 sudo 的包装器脚本，以批准的方式操纵虚拟机状态。