微软在新的 Hyper-V 中一直在着重提出其在安全性方面的优势，而微软或许也希望通过对安全性的阐述来带出两点：1、微软的Hyper-V是与众不同的；2、Hyper-V 的微架构相比其它“第三方的解决方案”是有特殊的安全性优势的。
确实，由于 Hyper-V 在微内核上的优势：微内核管理程序包含了尽可能少的代码，在 Hyper-V 的管理程序中，你既看不到设备驱动程序（驱动程序是跑在每一个独立的分区中，而虚拟机 OS 虽然在相互独立的单独分区内但是却能够很好的通过 Hypervisor 直接访问硬件），同时，Hyper-V 也少见第三方代码，因此，微软成功的将 Hyper-V 的安全隐患降到了最低。
但这只是 Hyper-V 的安全性话题的其中一部分，微软在保护Hyper-V上所投入的力量显然是更为巨大的，且安全性，尤其是在与 Windows Server 紧密结合之后的安全性，正成为微软与 VMware、Xen Source这些第三方解决方案抗衡的重要砝码。
微软的Hyper-V的虚拟化前身来自于 Virtual Server，这是一个建立在 Ring0内核模式和 Ring3用户模式下的传统模式，宿主机的 Windows 和驱动程序及VS底层驱动都是在Ring0下，Virtual Server 则是在 Windows Server 上的，通过IIS来进行管理，与内核进行通信，但反观虚拟机，其 Virtual Server 则运行于一个高于WIndows 的Ring1 虚拟内核模式上，特权低于Ring0，但是高于Ring3——问题在于很多特权指令很可能不能够在Ring1上得到完善的支持，当然，我记得微软好像也有一种什么二进制指令翻译的技术进行处理，但是这毕竟不是一个最“根本”的解决途径。
在 Hyper-V 中，不再有宿主机和虚拟机之分，微软带来的新概念是：父分区和子分区，通过在硬件底层安装 Hypervisor，然后就在虚拟机上划分多个分区，父分区和子分区虽然看起来可以对应之前的宿主机和虚拟机，但是其地位已经基本平等，他们的内核都是运行在 Ring0上，应用程序则运行在Ring3用户模式上，与VS最大的不同是，虚拟机的内核不再运行在Ring1之中，Hypervisor 运行的则更为底级，大致是运行在CPU上的一个什么层上，微软的命名也很有意思，叫 Ring-1，从图中我们看到，微软虚拟化的功能和结构已经大大的复杂化和体系化。
好，现在我们已经对 Hyper-V 的架构有了一定的了解——从第三方的结构上来看，Hypervisor 有两点安全性值得我们注意：第一，其不能满足深度防御体系——这一点当然是微软一致推崇的；第二，Hypervisor直接运行在硬件上，导致了特权的最大化，其风险可想而知，因此，Hyper-V 既然是基于 Hypervisor 技术的，也就面临了同样的问题。
微软的解决办法是：在Hyper-V中只做内存管理和CPU调度，其他的设备则通过关键的 VMbus——这是一种穿越机制，通过VMbus进入 Ring0进行转接，从而构建了一个微软 Hyper-V 的三层架构（当然，就是那个深度防御体系）：调度CPU管理内存的Hypervisor层、存储/网络堆栈和驱动运行的Ring0层以及Ring3层之中的虚拟设备/管理用API/虚拟机。
不知道有没有人注意到：VMbus是其中的一个安全性的核心，他负责了那些可能会出现问题的命令和代码的执行——基于VMbus的高速内存总线架构是其安全性实现超越主要贡献者，每台虚拟机之间隔离的VMbus调用保证了每个分区，每个虚拟机之间完全的隔离开（或许我们可以说是“类物理机”？）
除此以外，我们还会看到，正如我在文章开头所说，Hyper-V 底层的Hypervisor代码量很小，不带有第三方驱动，仅仅是负责两件事情的非常精简的架构下——而且还是纯粹的微软的代码（微软自己声称不包含任何的bug），安全性能够得到大大提升——只做最核心的，不做那些可能会出问题的，Hypervisor 会出问题才怪？！
当然，这并不是全部的内容，微软的工程师曾经提到过有关 Hpyer-V 安全加固部分：首先，Hypervisor 拥有自己的地址空间，与 Guest 的地址空间隔离；其次，Hypervisor 可以运行在Windows Server 2008 上的 Server Core上，这是仅仅支持命令行接口的一个最精简的 Windows Server，一个没有 GUI Shell 但是可以运行GUI程序的诡异系统。
利用Server Core 安装Hyper-V，好处很明显：GUI Shell 去掉后，性能更好，而代码量最小之后，系统需要补丁的几率也就越小——我觉得这点最关键，谁都知道，微软的Windows绝对是补丁大王。
补：需要说明的是，子分区目前仍然要通过父分区来访问硬件资源，当子分区内的操作系统需要访问硬件的时候，由子分区内的 VSC(Virtualization Service Client)通过VMBUS将request发给父分区里面的 VSP(VirtualizationService Provider)，然后由VSP 去提供实际的硬件服务。通过这种方式来使用硬件，相对于使用硬件模拟的方法，其访问性能有了大幅度的提高。
微软在新的 Hyper-V 中一直在着重提出其在安全性方面的优势，而微软或许也希望通过对安全性的阐述来带出两点：1、微软的Hyper-V是与众不同的；2、Hyper-V 的微架构相比其它“第三方的解决方案”是有特殊的安全性优势的。
确实，由于 Hyper-V 在微内核上的优势：微内核管理程序包含了尽可能少的代码，在 Hyper-V 的管理程序中，你既看不到设备驱动程序（驱动程序是跑在每一个独立的分区中，而虚拟机 OS 虽然在相互独立的单独分区内但是却能够很好的通过 Hypervisor 直接访问硬件），同时，Hyper-V 也少见第三方代码，因此，微软成功的将 Hyper-V 的安全隐患降到了最低。
但这只是 Hyper-V 的安全性话题的其中一部分，微软在保护Hyper-V上所投入的力量显然是更为巨大的，且安全性，尤其是在与 Windows Server 紧密结合之后的安全性，正成为微软与 VMware、Xen Source这些第三方解决方案抗衡的重要砝码。
微软的Hyper-V的虚拟化前身来自于 Virtual Server，这是一个建立在 Ring0内核模式和 Ring3用户模式下的传统模式，宿主机的 Windows 和驱动程序及VS底层驱动都是在Ring0下，Virtual Server 则是在 Windows Server 上的，通过IIS来进行管理，与内核进行通信，但反观虚拟机，其 Virtual Server 则运行于一个高于WIndows 的Ring1 虚拟内核模式上，特权低于Ring0，但是高于Ring3——问题在于很多特权指令很可能不能够在Ring1上得到完善的支持，当然，我记得微软好像也有一种什么二进制指令翻译的技术进行处理，但是这毕竟不是一个最“根本”的解决途径。
在 Hyper-V 中，不再有宿主机和虚拟机之分，微软带来的新概念是：父分区和子分区，通过在硬件底层安装 Hypervisor，然后就在虚拟机上划分多个分区，父分区和子分区虽然看起来可以对应之前的宿主机和虚拟机，但是其地位已经基本平等，他们的内核都是运行在 Ring0上，应用程序则运行在Ring3用户模式上，与VS最大的不同是，虚拟机的内核不再运行在Ring1之中，Hypervisor 运行的则更为底级，大致是运行在CPU上的一个什么层上，微软的命名也很有意思，叫 Ring-1，从图中我们看到，微软虚拟化的功能和结构已经大大的复杂化和体系化。
好，现在我们已经对 Hyper-V 的架构有了一定的了解——从第三方的结构上来看，Hypervisor 有两点安全性值得我们注意：第一，其不能满足深度防御体系——这一点当然是微软一致推崇的；第二，Hypervisor直接运行在硬件上，导致了特权的最大化，其风险可想而知，因此，Hyper-V 既然是基于 Hypervisor 技术的，也就面临了同样的问题。
微软的解决办法是：在Hyper-V中只做内存管理和CPU调度，其他的设备则通过关键的 VMbus——这是一种穿越机制，通过VMbus进入 Ring0进行转接，从而构建了一个微软 Hyper-V 的三层架构（当然，就是那个深度防御体系）：调度CPU管理内存的Hypervisor层、存储/网络堆栈和驱动运行的Ring0层以及Ring3层之中的虚拟设备/管理用API/虚拟机。
不知道有没有人注意到：VMbus是其中的一个安全性的核心，他负责了那些可能会出现问题的命令和代码的执行——基于VMbus的高速内存总线架构是其安全性实现超越主要贡献者，每台虚拟机之间隔离的VMbus调用保证了每个分区，每个虚拟机之间完全的隔离开（或许我们可以说是“类物理机”？）
除此以外，我们还会看到，正如我在文章开头所说，Hyper-V 底层的Hypervisor代码量很小，不带有第三方驱动，仅仅是负责两件事情的非常精简的架构下——而且还是纯粹的微软的代码（微软自己声称不包含任何的bug），安全性能够得到大大提升——只做最核心的，不做那些可能会出问题的，Hypervisor 会出问题才怪？！
当然，这并不是全部的内容，微软的工程师曾经提到过有关 Hpyer-V 安全加固部分：首先，Hypervisor 拥有自己的地址空间，与 Guest 的地址空间隔离；其次，<, /SPAN>Hypervisor 可以运行在Windows Server 2008 上的 Server Core上，这是仅仅支持命令行接口的一个最精简的 Windows Server，一个没有 GUI Shell 但是可以运行GUI程序的诡异系统。
利用Server Core 安装Hyper-V，好处很明显：GUI Shell 去掉后，性能更好，而代码量最小之后，系统需要补丁的几率也就越小——我觉得这点最关键，谁都知道，微软的Windows绝对是补丁大王。
补：需要说明的是，子分区目前仍然要通过父分区来访问硬件资源，当子分区内的操作系统需要访问硬件的时候，由子分区内的 VSC(Virtualization Service Client)通过VMBUS将request发给父分区里面的 VSP(VirtualizationService Provider)，然后由VSP 去提供实际的硬件服务。通过这种方式来使用硬件，相对于使用硬件模拟的方法，其访问性能有了大幅度的提高。