1. まずソケットを所有させるグループが存在しない場合は、それを作成します:

   groupadd libvirt

   	グループの存在について
   libvirtd を再起動するまでの間にグループを作成しなければなりません。 作成を行なっていないと、再起動が失敗します。

2. アクセスを許可したいユーザをグループに追加します:

   usermod -A libvirt tux

3. あとは設定ファイル /etc/libvirt/libvirtd.conf を下記のように変更します:

   unix_sock_group = "libvirt"
          unix_sock_rw_perms = "0770"
          auth_unix_rw = "none"

   	所有者グループを libvirt に設定しています。
   	ソケットに対するパーミッションを設定しています (srwxrwx---) 。
   	その他の認証方法 (PolKit や SASL など) を無効化しています。 アクセスはソケットのパーミッションでのみ設定します。

4. libvirtd を再起動します:

   rclibvirtd restart

1. /etc/libvirt/libvirtd.conf 内の設定を、下記のように 変更します:

   1. TCP 接続に対して SASL を有効にする場合:

      auth_tcp = "sasl"

   2. TLS/SSL 接続に対して SASL を有効にする場合:

      auth_tls = "sasl"

2. libvirtd を再起動します:

   rclibvirtd restart

3. libvirt の SASL 設定ファイルは /etc/sasl2/libvirtd.conf にあります。通常は、この設定ファイルを既定値から変更する必要はありません。 しかしながら、 TLS 経由で SASL を使用するような場合は、処理の重複を防ぐために セッションの (SASL 内の) 暗号化を無効化することができます。セッションの暗号化を 無効にするには、 mech_list をコメントアウトしてください。 TCP 接続の場合は digest-md5 に設定しなければなりません:

   mech_list: digest-md5   # TCP 接続での必須設定
   #mech_list: digest-md5   # TLS/SSL 接続でのみ適用されるべき設定

4. 既定では SASL のユーザは何も設定されていないため、誰もログインできません。 それぞれ下記のコマンドを利用してユーザの追加や一覧表示、削除を行なって ください:

   mercury:~ # saslpasswd2 -a libvirt tux                  # ユーザ tux の追加
   Password: 
   Again (for verification): 
   mercury:~ # sasldblistusers2 -f /etc/libvirt/passwd.db  # ユーザの一覧表示
   tux@mercury.example.com: userPassword
   mercury:~ # saslpasswd2 -a libvirt -d tux               # ユーザ tux の削除

1. まずは SASL の設定ファイルを作成します。 libvirt 向けに用意された ファイルをお使いになるのがお勧めです。既に libvirt 向けに SASL を設定していて、同じユーザ名／パスワードのデータベースを 利用したい場合は、単純にリンクを作成するだけでかまいません:

   ln -s /etc/sasl2/libvirt.conf /etc/sasl2/qemu.conf

   VNC にのみ SASL を設定したい場合や、 libvirt とは異なる設定を使用 したい場合は、既存のファイルをベースとして使用するため、いったんコピー してから必要な修正を行なってください:

   cp /etc/sasl2/libvirt.conf /etc/sasl2/qemu.conf

2. 既定では SASL のユーザは何も設定されていないため、誰もログインできません。 それぞれ下記のコマンドを利用してユーザの追加や一覧表示、削除を行なって ください:

   mercury:~ # saslpasswd2 -a libvirt tux                  # ユーザ tux の追加
   Password: 
   Again (for verification): 
   mercury:~ # sasldblistusers2 -f /etc/libvirt/passwd.db  # ユーザの一覧表示
   tux@mercury.example.com: userPassword
   mercury:~ # saslpasswd2 -a libvirt -d tux               # ユーザ tux の削除

3. /etc/libvirt/qemu.conf 内の設定を 下記のように修正します:

   vnc_listen = "0.0.0.0"
   vnc_sasl = 1

   最初のパラメータでは、 VNC をすべてのインターフェイスに対して (ローカルホストだけでなく) 公開し、接続を受け付けるように設定して います。 2 つめのパラメータでは SASL 認証を有効にしています。

4. libvirtd を再起動します:

   rclibvirtd restart

5. 設定を変更する前から起動していたすべての VM ゲスト について、再起動を 行ないます。 VM ゲスト を再起動しない場合、 VNC 接続時の SASL 認証は 有効化されません。

手順6.1 グローバル VNC パスワードの設定

1. /etc/libvirt/qemu.conf 内の設定を下記のように 変更します:

   vnc_listen = "0.0.0.0"
          vnc_password = "パスワード"

   最初のパラメータでは、 VNC をすべてのインターフェイスに対して (ローカルホストだけでなく) 公開し、接続を受け付けるように設定して います。 2 つめのパラメータではパスワードを設定しています。 パスワードに設定可能な最大の長さは 8 文字です。

2. libvirtd を再起動します:

   rclibvirtd restart

3. 設定を変更する前から起動していたすべての VM ゲスト について、再起動を 行ないます。 VM ゲスト を再起動しない場合、 VNC 接続時のパスワード 認証は有効化されません。

手順6.2 VM ゲスト 固有の VNC パスワードの設定

1. まずは下記のようにして、 VNC をすべてのインターフェイスに対して (ローカルホストだけでなく) 公開し、接続を受け付けるように設定します。

   vnc_listen = "0.0.0.0"

2. エディタで VM ゲスト の XML 設定ファイルを開きます。下記の例では VM 名 の部分を VM ゲスト の名前に置き換えて ください。使用されるエディタは、既定では $EDITOR 変数で 指定されたものを使用します。この変数が設定されていない場合は、 vi を使用します。

   virsh edit VM 名

3. type='vnc' という属性を持った <graphics> の要素を探します。たとえば下記の ような要素です:

   <graphics type='vnc' port='-1' autoport='yes'/>

4. passwd=パスワード という 属性を追加し、ファイルを保存しエディタを終了します。パスワードに設定 可能な最大の長さは 8 文字です。

   <graphics type='vnc' port='-1' autoport='yes' passwd='PASSWORD'/>

5. libvirtd を再起動します:

   rclibvirtd restart

6. 設定を変更する前から起動していたすべての VM ゲスト について、再起動を 行ないます。 VM ゲスト を再起動しない場合、 VNC 接続時のパスワード 認証は有効化されません。

1. A.2項 「x509 クライアント／サーバ証明書の生成」 の手順に従って サーバ証明書を作成し、 CA の証明書とともにエクスポートします。

2. VM ホストサーバ 上で下記のように入力してディレクトリを作成します:

   mkdir -p /etc/pki/CA/ /etc/pki/libvirt/private/

   下記のようにして証明書をインストールします:

   /etc/pki/CA/cacert.pem
   /etc/pki/libvirt/servercert.pem
   /etc/pki/libvirt/private/serverkey.pem

   	証明書へのアクセス制限について
   6.2.2.5項 「アクセス制限 (セキュリティ面の考慮事項)」 で説明しているように、証明書へのアクセスが制限されていること を確認しておいてください。

3. /etc/libvirt/libvirtd.conf ファイルを エディタで開き、 listen_tls = 1 を設定します。 設定が終わったら libvirtd を再起動します:

   rclibvirtd restart

4. 既定では libvirt は TLS の機密接続用に TCP ポート 16514 で待ち受け ます。必要であれば、ファイアウオールで左記のポートを開いてください。

1. A.2項 「x509 クライアント／サーバ証明書の生成」 の手順に従って クライアント証明書を作成し、 CA の証明書とともにエクスポートします。

2. クライアント側で下記のように入力してディレクトリを作成します:

   mkdir -p /etc/pki/CA/ /etc/pki/libvirt/private/

   下記のようにして証明書をインストールします:

   /etc/pki/CA/cacert.pem
   /etc/pki/libvirt/clientcert.pem
   /etc/pki/libvirt/private/clientkey.pem

   	証明書へのアクセス制限について
   6.2.2.5項 「アクセス制限 (セキュリティ面の考慮事項)」 で説明しているように、証明書へのアクセスが制限されていること を確認しておいてください。

3. 下記のコマンドを入力することで、クライアントとサーバ間の接続テストを 行なうことができます。下記の mercury.example.com には VM ホストサーバ の名前を指定してください。サーバ証明書を作成した時と同じ 完全修飾ドメイン名を入力します。

   virsh -c qemu+tls://mercury.example.com/system list --all

   設定が正しければ、 VM ホストサーバ 上で libvirt を利用して作成した、 すべての VM ゲスト の一覧が表示されます。