Издание на Kata Containers 3.2 с изолация на базата на виртуализация

Публикуван е версия на проекта Kata Containers 3.2, който развива стек за организиране на изпълнение на контейнери с използване на изолация на базата на пълноценни механизми за виртуализация. Проектът е създаден от компаниите Intel и Hyper чрез обединяване на технологиите Clear Containers и runV. Кодът на проекта е написан на езиците Go и Rust и се разпространява под лицензия Apache 2.0. Развитието на проекта се координира от работна група, създадена под егидата на независимата организация OpenStack Foundation, в която участват компании като Canonical, China Mobile, Dell/EMC, EasyStack, Google, Huawei, NetApp, Red Hat, SUSE и ZTE.

Основата на Kata се състои от runtime, позволяващ създаването на компактни виртуални машини, които работят с помощта на пълноценен хипервизор, вместо да се използват традиционни контейнери, опериращи с общо ядро на Linux и изолирани чрез пространства от имена и cgroups. Използването на виртуални машини позволява постигането на по-високо ниво на сигурност, което защитава от атаки, причинени от експлоатиране на уязвимости в ядрото на Linux.

Kata Containers е насочен към интеграция в съществуващи инфраструктури за изолация на контейнери с възможност за използване на подобни виртуални машини, за да се усили защитата на традиционните контейнери. Проектът предлага механизми за осигуряване на съвместимост на леките виртуални машини с различни инфраструктури за изолация на контейнери, платформи за оркестрация на контейнери и спецификации като OCI (Open Container Initiative), CRI (Container Runtime Interface) и CNI (Container Networking Interface). Налични са средства за интеграция с Docker, Kubernetes, QEMU и OpenStack.

Интеграцията с системи за управление на контейнери се постига чрез прослойка, симулираща управлението на контейнера, която чрез gRPC интерфейс и специален прокси се свързва с управляващия агент във виртуалната машина. Вътре в виртуалната среда, която се стартира от хипервизора, се използва специално оптимизирано ядро на Linux, съдържащо само минималния набор от необходими възможности.

Като хипервизор се поддържа използването на Dragonball Sandbox (KVM издание, оптимизирано за контейнери) с инструменти QEMU, както и Firecracker и Cloud Hypervisor. Системната среда включва демон за инициализация и агент (Аgent). Агентът осигурява изпълнението на определени потребителски образи на контейнери в OCI формат за Docker и CRI за Kubernetes. При използване с Docker за всеки контейнер се създава отделна виртуална машина, т.е. стартирането на околната среда над хипервизора е предназначено за вложено стартиране на контейнери.

За намаляване на потреблението на памет се използва механизъм DAX (директен достъп до ФС, заобикалящ страницовия кеш без използване на блокови устройства), а за дедупликация на еднакви области на паметта се прилага технологията KSM (Сливане на сходни страници от ядро), което позволява споделянето на ресурси от хост системата и свързването на различни гостуващи системи към общ шаблон на системната среда.

В новата версия:

• В допълнение към поддръжката на архитектурата AMD64 (x86_64) е осигурено образуването на версии за архитектурите ARM64 (Aarch64) и s390 (IBM Z). В разработка е поддръжката на архитектура ppc64le (IBM Power).
• За организиране на достъп до образите на контейнерите е използвана файлова система Nydus 2.2.0, в която се прилага адресация по съдържание за ефективна съвместна работа с типови образи. Nydus поддържа зареждане на образи в движение (зарежда само при възникване на необходимост), осигурява дедупликация на повтарящи се данни и може да използва различни бекенди за фактическо съхранение. Предоставя съвместимост с POSIX (по аналогия с Composefs, реализацията на Nydus комбинира възможностите на OverlayFS с EROFS или FUSE модул).
• В основния състав на проекта Kata Containers е интегриран мениджър на виртуални машини Dragonball, който сега ще се развива в общото репозиторио.
• В утилитата kata-ctl е добавена отладъчна функция за свързване към виртуалната машина от хост околната среда.
• Разширени са възможностите за управление на GPU и е добавена поддръжка за проброс на GPU в контейнери за конфиденциални изчисления (Confidential Container), в който се осигурява криптиране на данни, памет и състояние на изпълнението за защита в случай на компрометиране на хост околната среда или хипервизора.
• В Runtime-rs е добавена подсистема за управление на устройства, използвани в контейнери или sandbox околни среди. Поддържа работа с vfio, блочни, мрежови и други типове устройства.
• Осигурена е съвместимост с OCI Runtime 1.0.2 и Kubernetes 1.23.1.
• Препоръчва се за основно ядро на Linux да се използва версия 6.1.38 с пачове.
• Разработката е преведена от използването на система за непрекъсната интеграция Jenkins на GitHub Actions.

Източник: opennet.ru