{"id":115219,"date":"2024-04-21T14:30:09","date_gmt":"2024-04-21T12:30:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-kata-containers-3-4-s-izolyacziej-na-osnove-virtualizaczii"},"modified":"2024-04-21T14:30:09","modified_gmt":"2024-04-21T12:30:09","slug":"vypusk-kata-containers-3-4-s-izolyacziej-na-osnove-virtualizaczii","status":"publish","type":"post","link":"https:\/\/prohoster.info\/cs\/blog\/news\/vypusk-kata-containers-3-4-s-izolyacziej-na-osnove-virtualizaczii","title":{"rendered":"Vyd\u00e1n\u00ed Kata Containers 3.4 s izolac\u00ed na z\u00e1klad\u011b virtualizace","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Bylo vyd\u00e1no vyd\u00e1n\u00ed projektu Kata Containers 3.4, kter\u00e9 rozv\u00edj\u00ed stack pro organizaci prov\u00e1d\u011bn\u00ed kontejner\u016f s vyu\u017eit\u00edm izolace zalo\u017een\u00e9 na plnohodnotn\u00fdch mechanismech virtualizace. Projekt byl vytvo\u0159en spole\u010dnostmi Intel a Hyper slou\u010den\u00edm technologi\u00ed Clear Containers a runV. K\u00f3d projektu je naps\u00e1n v jazyc\u00edch Go a Rust a je distribuov\u00e1n pod licenc\u00ed Apache 2.0. Rozvoj projektu \u0159\u00edd\u00ed pracovn\u00ed skupina, kterou zalo\u017eila nez\u00e1visl\u00e1 organizace OpenInfra Foundation, do kter\u00e9 pat\u0159\u00ed takov\u00e9 spole\u010dnosti jako Canonical, China Mobile, Dell\/EMC, EasyStack, Google, Huawei, NetApp, Red Hat, SUSE a ZTE. <\/p>\n

Z\u00e1kladem Kata je runtime, kter\u00fd umo\u017e\u0148uje vytv\u00e1\u0159et kompaktn\u00ed virtu\u00e1ln\u00ed stroje, provozovan\u00e9 s vyu\u017eit\u00edm plnohodnotn\u00e9ho hypervizoru, m\u00edsto pou\u017e\u00edv\u00e1n\u00ed tradi\u010dn\u00edch kontejner\u016f, kter\u00e9 vyu\u017e\u00edvaj\u00ed spole\u010dn\u00e9 j\u00e1dro Linuxu a jsou izolov\u00e1ny pomoc\u00ed prostor\u016f jmen a cgroups. Pou\u017eit\u00ed virtu\u00e1ln\u00edch stroj\u016f<\/a> umo\u017e\u0148uje dos\u00e1hnout vy\u0161\u0161\u00ed \u00farovn\u011b bezpe\u010dnosti, kter\u00e1 chr\u00e1n\u00ed p\u0159ed \u00fatoky zp\u016fsoben\u00fdmi zneu\u017e\u00edv\u00e1n\u00edm zranitelnost\u00ed v j\u00e1d\u0159e Linuxu. <\/p>\n

Kata Containers se zam\u011b\u0159uje na integraci do st\u00e1vaj\u00edc\u00edch infrastruktur kontejnerov\u00e9 izolace s mo\u017enost\u00ed vyu\u017eit\u00ed podobn\u00fdch virtu\u00e1ln\u00edch stroj\u016f pro pos\u00edlen\u00ed ochrany tradi\u010dn\u00edch kontejner\u016f. Projekt poskytuje mechanismy pro zaji\u0161t\u011bn\u00ed kompatibility lehk\u00fdch virtu\u00e1ln\u00edch stroj\u016f s r\u016fzn\u00fdmi infrastrukturami kontejnerov\u00e9 izolace, platformami pro orchestraci kontejner\u016f a specifikacemi, jako jsou OCI (Open Container Initiative), CRI (Container Runtime Interface) a CNI (Container Networking Interface). Jsou dostupn\u00e9 prost\u0159edky pro integraci s Dockerem, Kubernetes, QEMU a OpenStack. <\/p>\n

Integrace se syst\u00e9my spr\u00e1vy kontejner\u016f je dosa\u017eena pomoc\u00ed vrstvy, kter\u00e1 simuluje spr\u00e1vu kontejneru, a kter\u00e1 prost\u0159ednictv\u00edm gRPC rozhran\u00ed a speci\u00e1ln\u00edho proxy se obrac\u00ed na \u0159\u00edd\u00edc\u00edho agenta ve virtu\u00e1ln\u00edm stroji. Uvnit\u0159 virtu\u00e1ln\u00edho prost\u0159ed\u00ed, kter\u00e9 je spou\u0161t\u011bno hypervizorem, se pou\u017e\u00edv\u00e1 speci\u00e1ln\u011b optimalizovan\u00e9 j\u00e1dro Linuxu, kter\u00e9 obsahuje pouze minim\u00e1ln\u00ed sadu pot\u0159ebn\u00fdch funkc\u00ed. <\/p>\n

Jako hypervisor je podporov\u00e1no pou\u017eit\u00ed Dragonball Sandbox (KVM edice optimalizovan\u00e1 pro kontejnery) s n\u00e1strojem QEMU, stejn\u011b jako Firecracker a Cloud Hypervisor. Syst\u00e9mov\u00e9 prost\u0159ed\u00ed zahrnuje d\u00e9mon inicializace a agenta (Agent). Agent zaji\u0161\u0165uje prov\u00e1d\u011bn\u00ed u\u017eivatelsky definovan\u00fdch obraz\u016f kontejner\u016f ve form\u00e1tu OCI pro Docker a CRI pro Kubernetes. P\u0159i pou\u017eit\u00ed ve spojen\u00ed s Dockerem je pro ka\u017ed\u00fd kontejner vytvo\u0159ena samostatn\u00e1 virtu\u00e1ln\u00ed stroj<\/a>, tj. spu\u0161t\u011bn\u00e9 prost\u0159ed\u00ed nad hypervisorem se pou\u017e\u00edv\u00e1 pro vno\u0159en\u00e9 spou\u0161t\u011bn\u00ed kontejner\u016f. <\/p>\n

\"Vyd\u00e1n\u00ed<\/center> <\/p>\n

Pro sn\u00ed\u017een\u00ed spot\u0159eby pam\u011bti je pou\u017e\u00edv\u00e1n mechanismus DAX (p\u0159\u00edm\u00fd p\u0159\u00edstup k FS mimo str\u00e1nkovou mezipam\u011b\u0165 bez aplikace \u00farovn\u011b blokov\u00fdch za\u0159\u00edzen\u00ed), a pro deduplikaci stejn\u00fdch oblast\u00ed pam\u011bti je pou\u017eita technologie KSM (Kernel Samepage Merging), co\u017e umo\u017e\u0148uje organizovat sd\u00edlen\u00ed zdroj\u016f hostitelsk\u00e9ho syst\u00e9mu a p\u0159ipojit ke r\u016fzn\u00fdm hostovan\u00fdm syst\u00e9m\u016fm spole\u010dn\u00fd \u0161ablonov\u00fd syst\u00e9m. <\/p>\n

Pro organizaci p\u0159\u00edstupu k obraz\u016fm kontejner\u016f je vyu\u017e\u00edv\u00e1n souborov\u00fd syst\u00e9m Nydus, kter\u00fd pou\u017e\u00edv\u00e1 adresaci na z\u00e1klad\u011b obsahu pro efektivn\u00ed spolupr\u00e1ci s typick\u00fdmi obrazy. Nydus podporuje na\u010d\u00edt\u00e1n\u00ed obraz\u016f za b\u011bhu (na\u010d\u00edt\u00e1 pouze v p\u0159\u00edpad\u011b pot\u0159eby), zaji\u0161\u0165uje deduplikaci opakuj\u00edc\u00edch se dat a m\u016f\u017ee pou\u017e\u00edvat r\u016fzn\u00e9 backendy pro skute\u010dn\u00e9 ukl\u00e1d\u00e1n\u00ed. Zaji\u0161\u0165uje kompatibilitu s POSIX (podobn\u011b jako Composefs, implementace Nydus kombinuje funkce OverlayFS s EROFS nebo FUSE modulem). <\/p>\n

V nov\u00e9 verzi: <\/p>\n