Microsoft Hyper-V

Wird die Hyper-V-Rolle aktiviert, schiebt sich der Hypervisor unter das laufende Windows. Das bisherige Betriebssystem wird zur Root- oder Parent-Partition, einer privilegierten Partition mit Zugriff auf die physische Hardware und die Treiber. Die virtuellen Maschinen laufen daneben in unprivilegierten Child-Partitionen. Anders als bei einem Typ-2-Hypervisor wie einer Desktop-Virtualisierung läuft Windows hier nicht über, sondern neben dem Hypervisor.

Damit die VMs nicht jede Hardware emuliert ansprechen müssen, gibt es den VMBus, einen schnellen Kanal zwischen den Partitionen. In der Root-Partition sitzen Dienstanbieter (VSP), in den Gästen die passenden Verbraucher (VSC). Aufgeklärte Gastsysteme nutzen darüber direkten, schnellen Zugriff statt emulierter Geräte. Bereitgestellt wird das über die Integration Services, die in aktuellen Windows- und Linux-Gästen bereits enthalten sind. Voraussetzung auf dem Host sind die CPU-Virtualisierung und die Adressübersetzung der zweiten Ebene (SLAT).

Beim Anlegen einer VM legt man die Generation fest, sie lässt sich später nicht mehr ändern:

Hyper-V kennt drei Arten virtueller Switches: extern verbindet VMs und Host mit dem physischen Netz, intern erlaubt Kommunikation zwischen VMs und Host ohne externen Zugang, und privat verbindet nur die VMs eines Hosts untereinander. Über VLANs und das separate Software-Defined Networking lässt sich das weiter segmentieren.

Für Ausfallsicherheit kombiniert Hyper-V das Windows Failover Clustering mit Cluster Shared Volumes (CSV), einem gemeinsam genutzten Speicher, auf den alle Knoten zugreifen. Fällt ein Knoten aus, starten seine VMs auf anderen neu. Die Live Migration verschiebt laufende VMs ohne Unterbrechung zwischen Knoten; mit Shared-Nothing Live Migration geht das sogar ohne gemeinsamen Speicher.

Hyper-V Replica repliziert VMs asynchron über das Netz an einen zweiten Standort, mit wählbaren Intervallen bis hinunter zu 30 Sekunden. Im Notfall lässt sich am Zielort übernehmen. Das ist eine eingebaute, kostenfreie Basis für die Notfallwiederherstellung, kein Ersatz für ein vollständiges Backup-Konzept, aber ein wirksamer Baustein für die Standortredundanz.

Generation-2-VMs unterstützen Secure Boot und einen virtuellen TPM, sodass BitLocker innerhalb der VM möglich ist. Shielded VMs gehen weiter: Sie verschlüsseln die VM und geben sie nur auf attestierten, vertrauenswürdigen Hosts frei (über den Host Guardian Service) und schützen so auch gegen kompromittierte Administratoren. Auf dem Host isoliert die virtualisierungsbasierte Sicherheit (VBS) sensible Prozesse. Shielded VMs setzen allerdings die Datacenter-Edition voraus.

Die Hyper-V-Rolle selbst kostet nichts extra, sie steckt im Windows-Server-Preis. Unterschiede gibt es bei den VM-Rechten: Standard deckt zwei Windows-Server-VMs je lizenziertem Host ab (durch Stapeln erweiterbar), Datacenter unbegrenzt viele und schaltet zusätzlich Shielded VMs, Software-Defined Networking und Storage Spaces Direct frei.