跳转到主要内容

安全

2 篇

  • PID 不是虚拟机身份

    发布于 设计

    设计QMP恢复安全

    说明 本文描述尚未发布的 Barn 0.9.0 候选版本。当前验证结果与发行前检查见 当前状态。 Pidfile 只能回答一个问题：写入文件时，某个进程使用了哪个整数。它不能证明进程仍然存活， 不能证明 PID 没有被复用，不能证明可执行文件就是 QEMU，也不能证明这个 QEMU 正是操作者 想停止的节点。 这些证据不足以授权 SIGKILL，更不足以授权删除 Root Disk。 Barn 把身份视为一条由独立证据组成的链。每一环承担不同职责；只有操作所需的证据全部一致， 破坏性动作才可以 …

    说明 本文描述尚未发布的 Barn 0.9.0 候选版本。当前验证结果与发行前检查见 当前状态。 Pidfile 只能回答一个问题：写入文件时，某个进程使用了哪个整数。它不能证明进程仍然存活， 不能证明 PID 没有被复用，不能证明可执行文件就是 QEMU，也不能证明这个 QEMU 正是操作者 想停止的节点。 这些证据不足以授权 SIGKILL，更不足以授权删除 Root Disk。 Barn 把身份视为一条由独立证据组成的链。每一环承担不同职责；只有操作所需的证据全部一致， 破坏性动作才可以 …

  • 声明式不等于破坏式

    发布于 设计

    设计生命周期Drift安全

    说明 本文描述尚未发布的 Barn 0.9.0 候选版本。当前验证结果与发行前检查见 当前状态。 “声明式”常被简化成“让现实等于文件”。在文件完整、分支正确时，这是一句好口号；但当配置 暂时不完整、检出了错误分支，或某个 YAML Group 被误删时，把“缺席”理解成“删除”就会让普通 编辑错误直接变成破坏操作。 Barn 采用一条更窄的规则： 期望状态可以授权创建，也可以描述 Drift；它永远不能通过省略来授权销毁。 这对 VM Runtime 尤其重要。Root Disk、Data …

    说明 本文描述尚未发布的 Barn 0.9.0 候选版本。当前验证结果与发行前检查见 当前状态。 “声明式”常被简化成“让现实等于文件”。在文件完整、分支正确时，这是一句好口号；但当配置 暂时不完整、检出了错误分支，或某个 YAML Group 被误删时，把“缺席”理解成“删除”就会让普通 编辑错误直接变成破坏操作。 Barn 采用一条更窄的规则： 期望状态可以授权创建，也可以描述 Drift；它永远不能通过省略来授权销毁。 这对 VM Runtime 尤其重要。Root Disk、Data …