要最大程度提高 Windows 客户机操作系统环境的安全性和可管理性，请遵循基于虚拟化的安全 (VBS) 的最佳做法。

通过遵循以下最佳做法来避免出现问题。

VBS 硬件

要实现 VBS，请使用以下硬件：

  • Intel
    • Haswell CPU 或更高版本为获得最佳性能，请使用 Skylake-EP CPU 或更高版本。
    • 可接受 Ivy Bridge CPU。
    • Sandy Bridge CPU 可能会导致性能较低。
  • AMD
    • Zen 2 系列 CPU (Rome) 或更高版本。
    • 较早版本的 CPU 可能会导致性能降低。

针对“页大小更改时出现计算机检查异常”Intel CPU 漏洞的缓解措施可能会在 VBS 使用时对客户机操作系统性能产生负面影响。有关详细信息，请参见 VMware 知识库文章，网址为 https://kb.vmware.com/kb/76050。

Windows 客户机操作系统兼容性

在 Intel 上，Windows 10 和 Windows Server 2016 及更高版本的虚拟机支持 VBS，尽管 Windows Server 2016 版本 1607 和 1703 需要修补程序。有关 ESXi 主机硬件兼容性，请参见 Microsoft 文档。要使用 Intel CPU 实现 VBS，需要使用 vSphere 6.7 或更高版本以及硬件版本 14。

在 AMD 上，Windows 10 版本 1809 和 Windows 2019 及更高版本的虚拟机支持 VBS。要使用 AMD CPU 实现 VBS，需要使用 vSphere 7.0 Update 2 或更高版本及硬件版本 19。

Windows 10 最初要求启用 Hyper-V 后才能实现 VBS。现在，Windows 10 不要求启用 Hyper-V。Windows Server 2016 及更高版本也同样适用。有关详细信息，请参见当前的 Microsoft 文档和 VMware vSphere 发行说明。

VBS 上不支持的 VMware 功能

启用 VBS 时，以下功能在虚拟机中不受支持：

  • Fault Tolerance
  • PCI 直通
  • 热添加 CPU 或内存

VBS 的安装和升级限制

配置 VBS 之前，请了解以下安装和升级限制：

  • 默认情况下，为低于版本 14 的虚拟硬件版本上的 Windows 10 和 Windows Server 2016 及更高版本配置的新虚拟机是使用旧版 BIOS 创建的。将虚拟机的固件类型从旧版 BIOS 更改为 UEFI 后，必须重新安装客户机操作系统。
  • 如果您计划将虚拟机从以前的 vSphere 版本迁移到 vSphere 6.7 或更高版本并在虚拟机中启用 VBS，请使用 UEFI 以避免重新安装操作系统。