VM : Virtual Machine
Infrastructure
VM : Virtual Machine. « Machine virtuelle », par analogie avec un appartement dans un immeuble : chaque logement a sa porte et ses clés, mais tous partagent les mêmes fondations, la même plomberie et le même compteur.
Hyperviseur aux commandes : Une couche logicielle, l'hyperviseur, découpe le processeur, la mémoire et le disque de la machine physique pour les distribuer aux VM. Chacune croit disposer de son propre matériel et démarre son propre système d'exploitation, sans se douter qu'elle est en colocation.
Cloisonnement : Une VM compromise ne voit pas, en principe, la mémoire de sa voisine. Ce cloisonnement repose sur l'hyperviseur et sur les extensions de virtualisation du processeur : une faille à ce niveau ouvre toutes les portes de l'immeuble d'un coup.
Face aux conteneurs : Une VM embarque un noyau complet, là où un conteneur partage celui de l'hôte. Résultat : plus lourde au démarrage, plus étanche à l'usage.
Snapshots et cycle de vie : Une VM se copie, se met en pause et se restaure à partir d'un snapshot. Vingt ans de métier apprennent que le snapshot « temporaire » pris avant une mise à jour finit souvent par fêter son troisième anniversaire en remplissant tranquillement le disque.
Ce qui arrive si on s'en passe
Sans machine virtuelle, les services partagent directement le même système hôte : un seul noyau, un seul système de fichiers, les mêmes comptes et la même pile réseau. Une application compromise n'a alors aucune porte supplémentaire à franchir pour atteindre ses voisines ; une élévation de privilèges locale suffit pour lire leurs fichiers, leurs secrets et leur mémoire. Sans les quotas imposés par l'hyperviseur, un service qui sature le processeur, la mémoire ou le disque prive aussi tous les autres de ces ressources. La reprise perd ses instantanés : il devient impossible de revenir rapidement à un état connu, ou d'isoler une machine suspecte pour l'analyser sans arrêter tout l'hôte. L'isolation qu'apporte la virtualisation reste cependant partielle, car les fondations communes (hyperviseur, processeur) restent un passage possible d'un logement à l'autre.
Explication de la marmotte
Prenons un ordinateur très puissant, rangé dans une grande salle. Au lieu de le confier à une seule personne, un programme spécial le découpe en plusieurs « faux » ordinateurs. Chacun reçoit sa part de mémoire et son espace pour ranger des fichiers. Chacun fait aussi tourner son propre programme de base, comme Windows. Vu de l'intérieur, il se comporte exactement comme un vrai. C'est comme un immeuble : un seul bâtiment, mais plusieurs appartements, chacun avec sa porte fermée à clé. Les habitants partagent les murs et l'électricité sans pouvoir entrer chez les voisins. Si un appartement est sens dessus dessous, les autres restent intacts.
Où ce terme est utilisé
- Évasion de VM et isolation matérielle des hyperviseurs (26 occurrences)
- Hyperviseur Type 1 ou Type 2 : lequel choisir (22 occurrences)
- Installer WSL 2 sous Windows 10 et 11, configuration et sécurité (11 occurrences)
- Isolation multi-locataire face à un locataire hostile (11 occurrences)
- Virtualisation réseau, NFV et data planes ouverts (10 occurrences)
- Isolation des conteneurs Docker : namespaces, cgroups et évasions (5 occurrences)