Издаване на Kata Containers 3.0 с изолация на базата на виртуализация

След две години разработка, бе публикувана версия 3.0 на проекта Kata Containers, който развива стек за организиране на изпълнението на контейнери с използването на изолация на база пълноценни механизми за виртуализация. Проектът е създаден от компаниите Intel и Hyper, чрез обединяване на технологиите Clear Containers и runV. Кодът на проекта е написан на езиците Go и Rust и се разпространява под лицензия Apache 2.0. Развитието на проекта се ръководи от работна група, създадена под егидата на независимата организация OpenStack Foundation, в която участват компании като Canonical, China Mobile, Dell/EMC, EasyStack, Google, Huawei, NetApp, Red Hat, SUSE и ZTE.

Основата на Kata е runtime, предоставящ възможност за създаване на компактни виртуални машини, изпълнявани с използването на пълноценен хипервизор, вместо традиционните контейнери, които използват общо ядро на Linux и са изолирани с помощта на пространства от имена и cgroups. Прилагането на виртуални машини позволява постигането на по-високо ниво на сигурност, което защитава от атаки, причинени от експлоатиране на уязвимости в ядрото на Linux.

Kata Containers е насочен към интеграция в съществуващи инфраструктури за изолация на контейнери с възможност за използване на подобни виртуални машини, за да се усили защитата на традиционните контейнери. Проектът предлага механизми за осигуряване на съвместимост на леките виртуални машини с различни инфраструктури за изолация на контейнери, платформи за оркестрация на контейнери и спецификации като OCI (Open Container Initiative), CRI (Container Runtime Interface) и CNI (Container Networking Interface). Налични са средства за интеграция с Docker, Kubernetes, QEMU и OpenStack.

Интеграцията с системи за управление на контейнери се постига чрез прослойка, симулираща управлението на контейнера, която чрез gRPC интерфейс и специален прокси се свързва с управляващия агент във виртуалната машина. Вътре в виртуалната среда, която се стартира от хипервизора, се използва специално оптимизирано ядро на Linux, съдържащо само минималния набор от необходими възможности.

Като хипервизор се поддържа използването на Dragonball Sandbox (KVM издание, оптимизирано за контейнери) с инструменти QEMU, както и Firecracker и Cloud Hypervisor. Системната среда включва демон за инициализация и агент (Аgent). Агентът осигурява изпълнението на определени потребителски образи на контейнери в OCI формат за Docker и CRI за Kubernetes. При използване с Docker за всеки контейнер се създава отделна виртуална машина, т.е. стартирането на околната среда над хипервизора е предназначено за вложено стартиране на контейнери.

За намаляване на потреблението на памет се използва механизъм DAX (директен достъп до ФС, заобикалящ страницовия кеш без използване на блокови устройства), а за дедупликация на еднакви области на паметта се прилага технологията KSM (Сливане на сходни страници от ядро), което позволява споделянето на ресурси от хост системата и свързването на различни гостуващи системи към общ шаблон на системната среда.

В новата версия:

• Предложен е алтернативен runtime (runtime-rs), който оформя съдържанието на контейнерите и е написан на Rust (предишният предоставен runtime беше написан на Go). Runtime е съвместим с OCI, CRI-O и Containerd, което позволява да се използва с Docker и Kubernetes.
• Предложен е нов хипервизор dragonball, базиран на KVM и rust-vmm.
• Добавена е поддръжка за пробиване на достъп до GPU, използвайки VFIO.
• Добавена е поддръжка за cgroup v2.
• Реализована поддержка подмены настроек без изменения основного файла конфигурации через замену блоков в отдельных файлах, размещаемых в каталоге «config.d/».
• В компонентите на Rust е използвана нова библиотека за безопасна работа с файлови пътища.
• Компонентът virtiofsd (написан на C) е заменен с virtiofsd-rs (написан на Rust).
• Добавена е поддръжка за sandbox-изолация на компонентите на QEMU.
• В QEMU за асинхронен вход/изход е използван API io_uring.
• За QEMU и Cloud-hypervisor е реализирана поддръжка за разширения Intel TDX (Trusted Domain Extensions).
• Актуализирани компоненти: QEMU 6.2.0, Cloud-hypervisor 26.0, Firecracker 1.1.0, ядро на Linux 5.19.2.

Източник: opennet.ru