知识卡片
把管理策略移出最高权限层是Xen架构的核心设计原则
内容
Xen设计时刻意把策略和机制分开：系统管理程序压缩成只负责底层硬件复用的薄层，运行在最高权限级别，出错会危及整个系统所以能少做就少做；真正复杂的管理决策（创建虚拟机、权限控制）下放给一个特殊的普通虚拟机零域，运行在较低权限下，出问题影响范围小、调试也容易。严格分开必须最高权限才能做和可较低权限完成的工作，是控制风险的通用思路。
参考来源
- 位置：《架构之美》第7章《Xen和虚拟化之美》7.5节《Xen的变换形式》（源文件：程序之美系列套装（6册）团队之美、项目管理之美、架构之美、数据之美、测试之美、安全之美/_epub-src/OEBPS/Text/part0165.xhtml）
- 结论依据：原文明确"当设计Xen架构的时候，首要关注的是只要有可能，就把策略和机制分开来。系统管理程序设计成用来管理低级硬件的薄层……较高级别的管理委派给了零域……在零域中调试管理软件比在系统管理程序中调试容易很多"。
- 原始内容：当设计Xen架构的时候，首要关注的是只要有可能，就把策略和机制分开来。系统管理程序设计成用来管理低级硬件的薄层，担当引用监控器和调度程序……较高级别的管理委派给了零域。