Microsoft стартира Hyperlight, хипервизор за изолация на отделни функции в приложения.

Компания Microsoft представи проекта Hyperlight, който развива хипервизор, предназначен за вграждане в приложения с цел изолирано изпълнение на код, който не е надежден или изисква специална защита. Хипервизорът е оформен под формата на споделена библиотека, която осигурява изпълнението на отделни функции в легковесни виртуални машини (micro-VM) и организира обмена на данни с тези функции. Кодът на проекта е написан на езика Rust и се разпространява под лиценция Apache 2.0.

В сравнение с пускането на традиционни виртуални машини Hyperlight позволява постигането на ниски забавяния и минимални разходи. В Hyperlight закъсненията при създаване на виртуални машини са 1-2 милисекунди, което позволява прилагане на изолация на ниво пускане на функции. За сравнение, пускането на обикновена виртуална машина отнема поне 120 милисекунди, а стартирането на изолирана sandbox среда за изпълнение на WebAssembly код с помощта на Wasmtime runtime отнема 0.03 милисекунди.

За изолация на платформата Linux поддържа използването на хипервизори KVM и mshv (Microsoft Hypervisor в Azure Linux), а на платформата Windows — WHP (Windows Hypervisor Platform) и WSL2 (Windows Subsystem for Linux 2) с KVM. Платформата macOS все още не се поддържа. Отделно ядро и операционна система в виртуална машина не се използват. Основата за виртуалната машина е оформена като самодостатъчна зареждаща програма, включваща кода на изпълняваната функция в обвивка от runtime и специализирано минимално ядро. Виртуалната машина използва единен линейный фрагмент от паметта и се назначава виртуален CPU, без картографиране на устройствата и без разделение на процеси.

Процесът на разработка се основава на свързването на основния код на приложението с библиотеката Hyperlight Host, която координира стартирането на виртуални машини, и кода на изпълняваните изолирано функции (гост функции) с библиотеката Hyperlight Guest, предоставяща API за взаимодействие с външната част на приложението и възможности за отделно изпълнение на кода без среда на операционната система.

Предоставяната прослойка за взаимодействие между хост-приложението и изолираните функции позволява не само извикването на изолирани функции от хост-приложенията, но и обратно – обращението към функциите на хост-приложенията от изолираните функции. Списъкът на външните функции, позволени за извикване от изолираните функции, е строго регламентиран. По подразбиране достъпът от изолираните функции е ограничен до минимален API, който позволява изпращането на съобщения към хост-приложението.

В бъдеще Microsoft планира да предаде проекта на некомерсиална организация Cloud Native Computing Foundation (CNCF) за съвместно развитие на неутрална платформа, независима от отделни производители. Организацията CNCF работи под егида на Linux Foundation и курира разработването на проекти като Kubernetes, etcd, Cilium, Containerd, cri-o, Flux, Helm, Istio и gRPC.

Източник: opennet.ru