Linux und Verschlüsselung

Hallo,

wir müssen zwei Typen von Servern verschlüsseln:

Typ A:
Systeme basierend auf CentOS 7 mit ein paar Applikationen, vornehmlich MariaDB i. V. m. Apache und einigen PHP-Anwendungen. Alles ist direkt auf dem Blech installiert, Virtualisierung kommt nicht zum Einsatz.

Typ B:
Systeme basierend auf CentOS 7 mit KVM. Alle relevanten Anwendungen und schützenswerten Daten liegen in virtuellen Maschinen und deren virtuellen Platten, die auf einer verschlüsselten Partition des Hosts liegen.

Man muss alle Maschinen remote neu starten können und keine der Maschinen besitzt KVM over IP / IPMI oder Ähnliches, d.h. die Maschinen müssen einen SSH-Server booten können. Ein Mini-SSH-Server im initramfs ist mir nicht wirklich sicher genug (Update-Sicherheit, Security bzw. automatische Updatefähigkeit des Mini-SSH-Servers selbst).

Ich habe nun folgende Fragen:

Im Falle der Typ A-Maschinen würde ich nur zwei Partitionen verschlüsseln: diejenige mit den sensiblen Benutzerdaten (die vornehmlich in den Datenbanken gespeichert sind und teilweise in den Webspaces oberhalb des Docroots), sowie die swap-Partition. /tmp würde ich als tmps realisieren. Gibt es Erkenntnisse, dass MariaDB, Apache und PHP (teilweise als mod_php, teilweise über CGI genutzt) temporäre Daten an anderen Orten als /tmp speichern?

Bei den Typ B-Maschinen stelle ich mir die Frage, ob evtl. eine unverschlüsselte swap-Partition des Hosts ein Sicherheitsleck darstellen könnte. Könnte es vorkommen, dass im Falle, dass der RAM des Hosts nicht reicht und dieser anfängt zu swappen, dieser swap-Space auch durch die VMs genutzt wird und dann sensible Daten aus den VMs im swap-Speicher des Hosts liegen könnten? Sind bei KVM-virtualisierten Systemen andere Kanäle denkbar, über die Daten aus den VMs auf nicht-flüchtigen Speicher des Hosts gelangen könnten (nein, ich meine damit nicht sowas wie bspw. Samba-Freigaben des Hosts, die in den VMs eingebunden werden