Pagpagawas sa Kata Containers 3.2 nga adunay virtualization-based isolation

Опубликован выпуск проекта Kata Containers 3.2, развивающего стек для организации выполнения контейнеров с использованием изоляции на базе полноценных механизмов виртуализации. Проект создан компаниями Intel и Hyper путём объединения технологий Clear Containers и runV. Код проекта написан на языках Go и Rust, и распространяется под лицензией Apache 2.0. Развитие проекта курирует рабочая группа, созданная под эгидой независимой организации OpenStack Foundation, в которой участвуют такие компании, как Canonical, China Mobile, Dell/EMC, EasyStack, Google, Huawei, NetApp, Red Hat, SUSE и ZTE.

Основу Kata составляет runtime, позволяющий создавать компактные виртуальные машины, выполняемые с использованием полноценного гипервизора, вместо применения традиционных контейнеров, использующих общее ядро Linux и изолированных при помощи пространств имён и cgroups. Применение виртуальных машин позволяет добиться более высокого уровня безопасности, защищающего от совершения атак, вызванных эксплуатацией уязвимостей в ядре Linux.

Ang Kata Containers naka-focus sa pag-integrate sa kasamtangan nga container isolation infrastructure nga adunay abilidad sa paggamit sa susamang virtual machines aron mapalambo ang proteksyon sa tradisyonal nga containers. Naghatag ang proyekto og mga mekanismo aron masiguro ang pagkaangay sa gaan nga virtual nga mga makina nga adunay lainlaing mga imprastraktura sa pagkalain sa sulud, mga platform sa orkestra sa sulud ug mga detalye sama sa OCI (Open Container Initiative), CRI (Container Runtime Interface) ug CNI (Container Networking Interface). Anaa ang mga himan alang sa panagsama sa Docker, Kubernetes, QEMU ug OpenStack.

Ang integrasyon sa mga sistema sa pagdumala sa sudlanan makab-ot gamit ang usa ka layer nga nagsundog sa pagdumala sa sudlanan, nga nag-access sa nagdumala nga ahente sa virtual machine pinaagi sa gRPC interface ug usa ka espesyal nga proxy. Sa sulod sa virtual nga palibot, nga gilunsad sa hypervisor, gigamit ang usa ka espesyal nga gi-optimize nga kernel sa Linux, nga adunay sulud lamang nga minimum nga set sa gikinahanglan nga mga kapabilidad.

Isip usa ka hypervisor, gisuportahan niini ang paggamit sa Dragonball Sandbox (usa ka edisyon sa KVM nga gi-optimize para sa mga sudlanan) nga adunay QEMU toolkit, ingon man ang Firecracker ug Cloud Hypervisor. Ang palibot sa sistema naglakip sa usa ka inisyal nga daemon ug usa ka ahente. Naghatag ang ahente sa pagpatuman sa mga imahe sa sudlanan nga gitakda sa gumagamit sa format nga OCI alang sa Docker ug CRI alang sa Kubernetes. Kung gigamit kauban ang Docker, usa ka bulag nga virtual machine ang gihimo alang sa matag sudlanan, i.e. Ang palibot nga nagdagan sa ibabaw sa hypervisor gigamit alang sa salag nga paglansad sa mga sudlanan.

Aron makunhuran ang pagkonsumo sa memorya, gigamit ang mekanismo sa DAX (direkta nga pag-access sa file system, pag-bypass sa cache sa panid nga wala gigamit ang lebel sa block device), ug aron ma-deduplicate ang parehas nga mga lugar sa memorya, gigamit ang teknolohiya sa KSM (Kernel Samepage Merging), nga nagtugot kanimo sa pag-organisar sa pagpaambit sa mga kapanguhaan sa sistema sa host ug pagkonektar sa lain-laing mga sistema sa bisita magpaambit sa usa ka komon nga template sa palibot sa sistema.

Sa bag-ong bersyon:

• Помимо поддержки архитектуры AMD64 (x86_64) обеспечено формирование релизов для архитектур ARM64 (Aarch64) и s390 (IBM Z). В разработке находится поддержка архитектуры ppc64le (IBM Power).
• Для организации доступа к образам контейнеров задействована файловая система Nydus 2.2.0, в которой используется адресация по содержимому для эффективной совместной работы с типовыми образами. Nydus поддерживает загрузку образов на лету (загружает только при возникновении необходимости), обеспечивает дедупликацию повторяющихся данных и может использовать разные бэкенды для фактического хранения. Предоставляется совместимость с POSIX (по аналогии с Composefs, реализация Nydus совмещает возможности OverlayFS c EROFS или FUSE-модулем).
• В основной состав проекта Kata Containers интегрирован менеджер виртуальных машин Dragonball, который теперь будет развиваться в общем репозитории.
• В утилиту kata-ctl добавлена отладочная функция для подключения к виртуальной машине из хост-окружения.
• Расширены возможности по управлению GPU и добавлена поддержка проброса GPU в контейнеры для конфиденциальных вычислений (Confidential Container), в который обеспечивается шифрование данных, памяти и состояния выполнения для защиты в случае компрометации хост-окружения или гипервизора.
• В Runtime-rs добавлена подсистема управления устройствами, используемыми в контейнерах или sandbox-окружениях. Поддерживается работа с vfio, блочными, сетевыми и другими типами устройств.
• Обеспечена совместимость с OCI Runtime 1.0.2 и Kubernetes 1.23.1.
• В качестве ядра Linux рекомендовано использовать выпуск 6.1.38 с патчами.
• Разработка переведена с использования системы непрерывной интеграции Jenkins на GitHub Actions.

Source: opennet.ru