MicroVM.nix项目中共享目录与用户密码配置的注意事项

在NixOS系统中使用MicroVM.nix项目创建虚拟机时，共享主机目录到虚拟机是一个常见需求。本文探讨了在配置过程中遇到的一个典型问题及其解决方案。

问题背景

当用户尝试在MicroVM虚拟机中使用与主机相同的用户密码时，通常会配置hashedPasswordFile选项指向主机上的密码文件。例如：

users.users.root.hashedPasswordFile = "/root/root.password";

同时，为了在虚拟机中访问主机文件，用户会配置共享目录：

shares = [
  {
    source = "/root";
    mountPoint = "/root";
    tag = "ro-root";
    proto = "virtiofs";
  }
];

遇到的问题

在虚拟机启动过程中，系统会报告警告信息：

warning: password file '/root/root.password' does not exist

这表明虽然共享目录已配置，但在系统激活阶段（initrd-nixos-activation）该目录尚未挂载，导致无法访问密码文件。

解决方案

方法一：设置文件系统为启动必需

通过添加以下配置，确保共享目录在系统激活前挂载：

fileSystems."/root".neededForBoot = true;

这个选项告诉系统该挂载点在启动过程中是必需的，确保其在激活脚本运行前可用。

方法二：安全考量下的替代方案

考虑到安全风险（暴露主机root密码到虚拟机），更推荐的做法是：

1. 在虚拟机中使用无密码用户
2. 配置SSH公钥认证
3. 禁用sudo密码要求：

security.sudo.wheelNeedsPassword = false;

技术原理

MicroVM.nix使用virtiofs协议实现主机与虚拟机间的文件共享。在启动顺序上：

1. 系统首先运行initrd阶段
2. 执行nixos-activation脚本
3. 最后才挂载常规文件系统

因此，若要在激活阶段访问共享文件，必须明确标记该挂载点为启动必需。

最佳实践建议

1. 尽量避免共享敏感目录（如/root）到虚拟机
2. 为虚拟机创建独立用户而非共享root账户
3. 优先使用SSH密钥认证而非密码
4. 若必须共享文件，考虑创建专用共享目录而非系统目录

通过合理配置，可以在保证安全性的同时实现主机与虚拟机间的必要文件共享。