为何默认限制/dev/kvm访问？还有哪些原因及提权方法？

一、除攻击面外的权限限制理由 #

• 资源滥用防护：KVM直接对接硬件虚拟化能力，非特权用户获得访问权后，可能无限制占用CPU虚拟化资源、内存或I/O带宽，干扰系统其他进程或虚拟机的正常运行，甚至引发资源耗尽问题。
• 数据安全隔离：通过/dev/kvm可直接交互虚拟机的内存、寄存器，非授权用户恶意利用时，可能读取/修改其他虚拟机的敏感数据，甚至突破隔离边界访问宿主机核心资源。
• 最小权限原则：Linux系统默认遵循最小权限逻辑，仅让root或特定授权用户访问敏感硬件接口，避免权限过度扩散，降低因权限滥用引发的安全事件概率。
• 集中管理需求：将访问权限限制在特定组（如kvm组），便于管理员集中管控可使用虚拟化功能的用户，避免随意授权带来的管理混乱。

二、已打补丁内核中扩展/dev/kvm访问权限的方法 #

注：root默认已拥有/dev/kvm的访问权限，以下针对非root用户扩展访问权限提供合规简便方案：

• 加入kvm用户组（推荐）：执行adduser $USER kvm（替换$USER为目标用户名），用户重新登录后即可获得访问权限。该方法既完成必要授权，又避免过度开放，符合安全规范。
• 固化udev规则：编辑udev规则文件（如/etc/udev/rules.d/99-kvm.rules），添加规则：

  SUBSYSTEM=="kvm", GROUP="kvm", MODE="0660"
  

  执行udevadm control --reload-rules && udevadm trigger使规则生效，设备每次创建时会自动应用该权限设置。
• 临时授权（仅测试用）：执行sudo chmod 660 /dev/kvm（仅开放给kvm组，比666更安全）或sudo chown $USER:$USER /dev/kvm，但重启后会恢复默认权限，不建议长期使用。

警告：不要直接设置666权限，这会让所有用户都能访问/dev/kvm，大幅提升系统安全风险，违背默认权限限制的初衷。

内容的提问来源于stack exchange，提问作者Helmut Grohne