本節書摘來自華章出版社《虛拟化安全解決方案》一書中的第1章，第1.1節，作者［美］戴夫·沙克爾福（dave shackleford），更多章節内容可以通路雲栖社群“華章計算機”公衆号檢視
所有虛拟化的核心都是對實體硬體層計算資源的抽象。在伺服器虛拟化領域中，主機是底層伺服器虛拟化平台，它将被用于向虛拟伺服器提供虛拟硬體層。虛拟客戶（通常也被稱為虛拟機或vm）由一系清單示虛拟伺服器或系統的檔案組成。這些檔案在與主機軟體和主機安裝的底層硬體互動中服務于特定目的。虛拟機可直接安裝在主機的本地儲存設備上或一個及多個網絡儲存設備上。
一些術語定義
下面是本書中使用的術語：
主機 主機是運作系統管理軟體的虛拟化平台。常見的主機平台包括vmware esxi、microsoft hyper-v、citrix xenserver、red hat kvm和其他。所有虛拟化系統都運作在這個主機管理程式平台之上。
虛拟客戶、虛拟機、vm、客戶系統 一個虛拟客戶，通常稱為虛拟機（virtual machine, vm），是任何運作在被抽象為一個虛拟模型環境的系統。vm是一組檔案，它代表一個基于硬體的計算平台，包括存儲器、記憶體和配置元件。
虛拟伺服器 許多虛拟化項目由虛拟化基于硬體的伺服器開始。術語虛拟伺服器常用于指代這些伺服器。虛拟伺服器真的隻不過是一個特殊類型的虛拟機。
管理程式是伺服器虛拟化平台的主要元件。通常被稱為虛拟機螢幕（virtual machine monitor，vmm），管理程式是虛拟基礎設施的中樞神經系統。它管理主機的底層硬體資源和處理所有由客戶啟動的作業系統（os）和應用程式對cpu、記憶體、i/o和硬碟資源的請求。
目前有兩種類型的管理程式：類型1管理程式根本上是獨立的操作平台并直接安裝在主機硬體上。由于這個原因，這些管理程式常被稱為實體硬體管理程式。虛拟機運作在硬體“之上”的一層，允許通過系統管理軟體完成更徹底的隔離。這種類型的管理程式的一個例子是vmware的esxi。這種類型的管理程式的例子如圖1.1所示。
類型2管理程式是安裝在現有作業系統平台上的應用程式，如圖1.2所示。類型2管理程式的例子是vmware工作站。
了解管理程式和它們易遭受的安全問題的關鍵是了解x86 cpu架構的運作模式和特權級别（或環）的概念。
運作模式 有兩種需要考慮的運作模式——實模式和保護模式。所有現代x86處理器為了向後相容都啟動進入實模式，但處理器的真正能力是在保護模式中，這就是特權級别概念的由來。
特權級别 為了形象化展示特權級别，想象一組同心圓，中間的最靠近硬體，越外面的環離硬體越遠（見圖1.3）。中間的環被稱為環0，是特權最高的，在這個級别運作的軟體具有對底層主機硬體完全的控制。其他的環被标為環1到環3（最外層的環）。在許多現代作業系統中，環0被稱為管理模式，是整個作業系統所有功能産生的地方。所有應用程式功能通常發生在環3，通常稱為使用者模式。
特權級别與管理程式是如何關聯的呢？
類型1管理程式與操作平台內建，是以它運作在環0、環1或環2，而使用者作業系統運作在環3。
對于類型2管理程式，管理程式和客戶都作為不同的應用程式運作在環3。
這兩個管理程式模型的目的是使使用者安全地運作而不會影響“真正的”環0，因為這将影響底層主機平台和所有其他使用者。為了實作這個目标，虛拟化平台在真正的環0和使用者間建立了一層，這個層就是管理程式，或虛拟機螢幕（vmm）。它表示使用者虛拟機為虛拟環0，以便當它們需要記憶體、硬碟、網絡和其他資源時，它們能完成對硬體的标準調用。影響管理程式可能意味着底層主機作業系統（如适用）和所有的使用者都容易暴露或遭受
攻擊。