Bylo vydáno vydání projektu Kata Containers 3.4, které rozvíjí stack pro organizaci provádění kontejnerů s využitím izolace založené na plnohodnotných mechanismech virtualizace. Projekt byl vytvořen společnostmi Intel a Hyper sloučením technologií Clear Containers a runV. Kód projektu je napsán v jazycích Go a Rust a je distribuován pod licencí Apache 2.0. Rozvoj projektu řídí pracovní skupina, kterou založila nezávislá organizace OpenInfra Foundation, do které patří takové společnosti jako Canonical, China Mobile, Dell/EMC, EasyStack, Google, Huawei, NetApp, Red Hat, SUSE a ZTE.
Základem Kata je runtime, který umožňuje vytvářet kompaktní virtuální stroje, provozované s využitím plnohodnotného hypervizoru, místo používání tradičních kontejnerů, které využívají společné jádro Linuxu a jsou izolovány pomocí prostorů jmen a cgroups. Použití virtuálních strojů umožňuje dosáhnout vyšší úrovně bezpečnosti, která chrání před útoky způsobenými zneužíváním zranitelností v jádře Linuxu.
Kata Containers se zaměřuje na integraci do stávajících infrastruktur kontejnerové izolace s možností využití podobných virtuálních strojů pro posílení ochrany tradičních kontejnerů. Projekt poskytuje mechanismy pro zajištění kompatibility lehkých virtuálních strojů s různými infrastrukturami kontejnerové izolace, platformami pro orchestraci kontejnerů a specifikacemi, jako jsou OCI (Open Container Initiative), CRI (Container Runtime Interface) a CNI (Container Networking Interface). Jsou dostupné prostředky pro integraci s Dockerem, Kubernetes, QEMU a OpenStack.
Integrace se systémy správy kontejnerů je dosažena pomocí vrstvy, která simuluje správu kontejneru, a která prostřednictvím gRPC rozhraní a speciálního proxy se obrací na řídícího agenta ve virtuálním stroji. Uvnitř virtuálního prostředí, které je spouštěno hypervizorem, se používá speciálně optimalizované jádro Linuxu, které obsahuje pouze minimální sadu potřebných funkcí.
Jako hypervisor je podporováno použití Dragonball Sandbox (KVM edice optimalizovaná pro kontejnery) s nástrojem QEMU, stejně jako Firecracker a Cloud Hypervisor. Systémové prostředí zahrnuje démon inicializace a agenta (Agent). Agent zajišťuje provádění uživatelsky definovaných obrazů kontejnerů ve formátu OCI pro Docker a CRI pro Kubernetes. Při použití ve spojení s Dockerem je pro každý kontejner vytvořena samostatná virtuální stroj, tj. spuštěné prostředí nad hypervisorem se používá pro vnořené spouštění kontejnerů.
Pro snížení spotřeby paměti je používán mechanismus DAX (přímý přístup k FS mimo stránkovou mezipaměť bez aplikace úrovně blokových zařízení), a pro deduplikaci stejných oblastí paměti je použita technologie KSM (Kernel Samepage Merging), což umožňuje organizovat sdílení zdrojů hostitelského systému a připojit ke různým hostovaným systémům společný šablonový systém.
Pro organizaci přístupu k obrazům kontejnerů je využíván souborový systém Nydus, který používá adresaci na základě obsahu pro efektivní spolupráci s typickými obrazy. Nydus podporuje načítání obrazů za běhu (načítá pouze v případě potřeby), zajišťuje deduplikaci opakujících se dat a může používat různé backendy pro skutečné ukládání. Zajišťuje kompatibilitu s POSIX (podobně jako Composefs, implementace Nydus kombinuje funkce OverlayFS s EROFS nebo FUSE modulem).
V nové verzi:
- Do manažera virtuálních strojů Dragonball byla přidána podpora pro horké připojení GPU a možnost použití registrů MTRR (Memory-Type Range Registers) pro organizaci přístupu k oblastem fyzické paměti.
- Ve runtime-rs, implementaci runtime v jazyce Rust, je zajištěna kompletní správa vláken, pid a tid, a také byl přepracován ovladač qemu, který je nasazen na systémech s architekturou s390 (IBM Z).
- Byl aktualizován servis pro vytváření snapshotů s využitím FS Nydus.
- Ve službě správy obrazů kontejnerů byla zvýšena efektivita práce s pamětí.
- Bylo zapnuto výchozí připojení hierarchie cgroups-v2 během spuštění pomocí systemd.
- Byla přidána možnost určení časového limitu pro omezení doby získávání velmi velkých obrazů v hostovaných systémech.
- Byla přidána podpora pro sestavení OPA agenta (Open Policy Agent) pro architektury ppc64le a s390x.
Zdroj: opennet.ru
