Пускането на Kata Containers 3.4 с изолация на базата на виртуализация

Публикуван е новият номер на проекта Kata Containers 3.4, насочен към създаване на стек за управление на изпълнението на контейнери с използване на изолация на база на пълноценни механизми за виртуализация. Проектът е създаден от компании Intel и Hyper чрез обединяване на технологиите Clear Containers и runV. Кодът на проекта е написан на езици Go и Rust и се разпространява под лицензия Apache 2.0. Развитието на проекта се ръководи от работна група, създадена под егидата на независимата организация OpenInfra Foundation, в която участват компании като Canonical, China Mobile, Dell/EMC, EasyStack, Google, Huawei, NetApp, Red Hat, SUSE и ZTE.

Основата на Kata се състои от runtime, позволяващ създаването на компактни виртуални машини, които работят с помощта на пълноценен хипервизор, вместо да се използват традиционни контейнери, опериращи с общо ядро на Linux и изолирани чрез пространства от имена и cgroups. Използването на виртуални машини позволява постигането на по-високо ниво на сигурност, което защитава от атаки, причинени от експлоатиране на уязвимости в ядрото на Linux.

Kata Containers е насочен към интеграция в съществуващи инфраструктури за изолация на контейнери с възможност за използване на подобни виртуални машини, за да се усили защитата на традиционните контейнери. Проектът предлага механизми за осигуряване на съвместимост на леките виртуални машини с различни инфраструктури за изолация на контейнери, платформи за оркестрация на контейнери и спецификации като OCI (Open Container Initiative), CRI (Container Runtime Interface) и CNI (Container Networking Interface). Налични са средства за интеграция с Docker, Kubernetes, QEMU и OpenStack.

Интеграцията с системи за управление на контейнери се постига чрез прослойка, симулираща управлението на контейнера, която чрез gRPC интерфейс и специален прокси се свързва с управляващия агент във виртуалната машина. Вътре в виртуалната среда, която се стартира от хипервизора, се използва специално оптимизирано ядро на Linux, съдържащо само минималния набор от необходими възможности.

Като хипервизор се поддържа използването на Dragonball Sandbox (KVM издание, оптимизирано за контейнери) с инструменти QEMU, както и Firecracker и Cloud Hypervisor. Системната среда включва демон за инициализация и агент (Аgent). Агентът осигурява изпълнението на определени потребителски образи на контейнери в OCI формат за Docker и CRI за Kubernetes. При използване с Docker за всеки контейнер се създава отделна виртуална машина, т.е. стартирането на околната среда над хипервизора е предназначено за вложено стартиране на контейнери.

За намаляване на потреблението на памет се използва механизъм DAX (директен достъп до ФС, заобикалящ страницовия кеш без използване на блокови устройства), а за дедупликация на еднакви области на паметта се прилага технологията KSM (Сливане на сходни страници от ядро), което позволява споделянето на ресурси от хост системата и свързването на различни гостуващи системи към общ шаблон на системната среда.

За организиране на достъп до образите на контейнери е задействана файловата система Nydus, която използва адресация по съдържание за ефективна работа с типични образи. Nydus поддържа зареждане на образи на момента (зарежда само при необходимост), осигурява дедупликация на повтарящи се данни и може да използва различни бекенди за фактическо съхранение. Предоставя съвместимост с POSIX (по подобие на Composefs, реализацията на Nydus комбинира възможностите на OverlayFS с EROFS или FUSE модул).

В новата версия:

• В мениджъра на виртуални машини Dragonball е добавена поддръжка за горещо свързване на GPU и възможност за използване на регистрите MTRR (Регистри на типа памет) за организиране на достъп до области на физическа памет.
• В runtime-rs, реализация на runtime на Rust, е осигурено пълно управление на потоците, pid и tid, а също така е преработен драйверът qemu, който се използва на системи с архитектура s390 (IBM Z).
• Обновена е услугата за създаване на снимки с използване на файловата система Nydus.
• В услугата за управление на образите на контейнери е повишена ефективността при работа с паметта.
• По подразбиране е включено монтиране на иерархията cgroups-v2 при стартиране с помощта на systemd.
• Добавена е възможност за определяне на таймаут за ограничаване на времето за получаване на много големи образи в гостуващите системи.
• Добавена е поддръжка за OPA-агент (Open Policy Agent) за архитектурите ppc64le и s390x.

Източник: opennet.ru