HGS ：VM 之盾

云服务在运行中一直让人不是很放心，尤其企业级用户单位，宁肯固守物理服务器心里才踏实。为此，在Windows Server 2016中将虚拟机（VM）加上了“盾牌”，即将VM上的虚拟硬盘通过虚拟TPM芯片进行加密，同时在客户OS上采用BitLocker，对VM加密可以在线进行，但禁止对VM进行内存式代码访问。

此项功能名称是HGS(Host Guardian Service)，专门对虚拟机执行加密，运行在特定的AD林层，具有两种模式：一种是简易型ATA（Admintrusted attestation）模式，宿主机来自组内，HGS配置为仅对组内成员的VM有效；第二种是HTA（Hardware- trusted attestation）模式，它要求为HGS 提供HSM（分层存储管理），每部宿主机都具有TPM 2.0芯片并符合UEFI 2.3.1规范，显然，此硬件模式提供了更大安全度。

HRP以及Linux 安全型引导

宿主机资源保护HRP（Host Resource Protection）最直接的目的就是为了保护好云操作平台Azure，对其攻击往往来自VM，攻击手段就是耗尽其资源。HRP通过VM访问方式判定其行为是否存在嫌疑，如有嫌疑则阻止其访问，以确保常规机器对服务的调用。此时有一项附加功能就是在第二代VM上支持客户端Linux安全性系统引导，它主要作用是临时绕过硬件保护。

数据存储更有弹性

在Windows Server 2016中的Hyper-V呈现出多样化的存储方式，除了原有的MPIO (iSCSI 和 host 总线适配器)，主机与不同层级（SAN或 Scale-Out File Server）之间SMB 3.0所提供的多条路径，乃至Windows Server 2012 R2以来重定向IO所提供的机器群网间充沛的存储流量；而且Windows Server 2016提供了所谓第三层存储弹性，旨在解决以往VM存储失败所导致的客户端OS的意外崩溃问题，此时Hyper-V 会将VM及时转移，避免灾害。

有人将这种VM存储失败所造成的故障比喻为“心搏”，对此Windows Server 2016的处理方式是：首先让VM停下来，然后将群资源转移到其它主机后再让VM启动，再去引导客户端OS，并逐一恢复之前运行的各项服务。……