Vérifier la prise en charge de la virtualisation matérielle et de KVM imbriqué avant de s'y fier

Objectif

Déterminer si le CPU et la configuration du noyau d'un hôte Linux permettent d'exécuter des invités KVM, et si la virtualisation imbriquée (un invité qui exécute lui-même KVM) est disponible, avant de dépendre de l'une ou de l'autre.

Prérequis

Un accès shell à l'hôte physique ou virtuel. Les vérifications en lecture seule ci-dessous fonctionnent sans les droits root (virt-host-validate donne le tableau le plus complet lorsqu'il est exécuté en root) ; recharger le module KVM et écrire dans /etc/modprobe.d/ nécessitent les droits root. Le paquet qui fournit virt-host-validate (par exemple libvirt-clients sur Debian/Ubuntu, libvirt-client sur les systèmes de la famille RHEL) doit être installé.

Étapes

1. Vérifier que le CPU expose les extensions de virtualisation : grep -Ewo 'vmx|svm' /proc/cpuinfo | sort -u. /proc/cpuinfo (décrit dans proc(5)) liste des informations propres au CPU, dont la ligne flags ; vmx indique Intel VT-x, svm indique AMD-V. Une sortie vide signifie que le CPU, un paramètre du firmware ou l'hyperviseur externe n'expose pas l'extension à ce système d'exploitation.
2. Lancer la vérification plus complète : virt-host-validate qemu (ou virt-host-validate sans argument pour tous les pilotes). La commande affiche PASS/WARN/FAIL pour la prise en charge de la virtualisation par le CPU, l'utilisabilité de /dev/kvm, les contrôleurs cgroup et les autres prérequis pour exécuter des invités QEMU/KVM sur cet hôte.
3. Pour l'imbrication, vérifier le paramètre sur l'hôte externe (celui qui exécute la VM dans laquelle vous voulez faire tourner KVM) : cat /sys/module/kvm_intel/parameters/nested (Intel) ou cat /sys/module/kvm_amd/parameters/nested (AMD) ; 1/Y signifie que l'option est activée. Les noyaux upstream l'activent par défaut depuis Linux 4.20, mais les noyaux des distributions et les options modprobe locales peuvent différer. À l'intérieur de la VM, l'étape 1 montre ensuite si vmx/svm sont effectivement arrivés.
4. Pour activer l'imbrication sur un hôte Intel : arrêter ou migrer au préalable tous les invités en cours d'exécution (le module ne peut pas être retiré tant qu'il est utilisé), puis sudo modprobe -r kvm_intel && sudo modprobe kvm_intel nested=1, et vérifier avec le même cat qu'à l'étape 3. Pour rendre le réglage persistant après un redémarrage, ajouter options kvm_intel nested=1 dans un fichier tel que /etc/modprobe.d/kvm.conf (AMD : kvm_amd). Pour annuler, supprimer cette ligne et recharger le module de la même manière.
5. Pour que l'invité imbriqué puisse lui-même utiliser l'accélération KVM, l'hyperviseur externe doit exposer à l'invité interne un modèle de CPU virtuel avec VMX/SVM (par exemple <cpu mode='host-passthrough'> dans le XML du domaine libvirt) ; il ne suffit pas d'activer le paramètre du module sur l'hôte.

Résultat attendu

virt-host-validate affiche PASS pour la vérification du CPU du pilote QEMU, et le fichier du paramètre nested contient Y/1 lorsque l'imbrication est active.

Limites et base de vérification

La documentation du noyau sur le VMX imbriqué décrit la virtualisation imbriquée pour la voie Intel (VMX) en particulier ; la prise en charge de SVM imbriqué chez AMD se contrôle de la même façon, mais via le module kvm_amd, mentionné ici sans source dédiée à AMD. L'hyperviseur d'une VM cloud ou hébergée peut masquer entièrement ces flags, quel que soit le CPU physique sous-jacent ; dans ce cas, aucune commande exécutée dans l'invité ne peut activer KVM imbriqué.