Unternehmen Siemens Veröffentlichung des freien Hypervisors . Der Hypervisor unterstützt die Ausführung auf x86_64-Systemen mit VMX+EPT- oder SVM+NPT-Erweiterungen (AMD-V) sowie auf ARMv7- und ARMv8/ARM64-Prozessoren mit Virtualisierungs-Erweiterungen. Separat ein Image-Generator für den Jailhouse-Hypervisor, der auf Debian-Paketen für unterstützte Geräte basiert. Der Projektcode unter der GPLv2-Lizenz.
der Hypervisor wird als Modul für den Linux-Kernel implementiert und bietet Virtualisierung auf Kernel-Ebene. Die Komponenten für Gastsysteme sind bereits im Hauptkernel von Linux enthalten. Zur Verwaltung der Isolation werden die von modernen CPUs bereitgestellten Hardwarevirtualisierungsmechanismen verwendet. Zu den herausragenden Merkmalen von Jailhouse zählen die schlanke Implementierung und die Ausrichtung auf die Bindung virtueller Maschinen an einen festen CPU, Bereiche des RAM und Hardwaregeräte. Dieser Ansatz ermöglicht es, auf einem physischen Mehrprozessorserver mehrere unabhängige virtuelle Umgebungen bereitstellen, von denen jede an ihren eigenen Prozessorkern gebunden ist.
Bei einer festen Bindung an die CPU werden die Overheadkosten des Hypervisors auf ein Minimum reduziert, und die Implementierung wird erheblich vereinfacht, da kein komplexer Ressourcenverteilungsplaner erforderlich ist – die Zuweisung eines separaten CPU-Kerns garantiert, dass auf diesem CPU keine anderen Aufgaben ausgeführt werden. Ein Vorteil dieses Ansatzes ist die Gewährleistung eines garantierten Zugriffs auf Ressourcen und eine vorhersehbare Leistung, was Jailhouse zu einer geeigneten Lösung für Echtzeitanwendungen macht. Ein Nachteil ist die begrenzte Skalierbarkeit, die am Limit der verfügbaren CPU-Kerne endet.
In der Terminologie von Jailhouse werden virtuelle Umgebungen als „Zellen“ (cell, im Kontext von Jailhouse) bezeichnet. Innerhalb einer Zelle sieht das System aus wie ein Ein-Prozessor-Server, der eine Leistung anzeigt der Leistung eines dedizierten CPU-Kerns kommt. In der Zelle kann eine Umgebung eines beliebigen Betriebssystems ausgeführt werden, sowie reduzierte Umgebungen für die Ausführung einer einzelnen Anwendung oder speziell vorbereitete Anwendungen, die für Echtzeitanwendungen bestimmt sind. Die Konfiguration wird in , die die für die Umgebung zugewiesenen CPU, Speicherbereiche und Ein-/Ausgabe-Ports definieren.
In der neuen Version
- Unterstützung für die Plattformen Raspberry Pi 4 Model B und Texas Instruments J721E-EVM hinzugefügt;
- das ivshmem-Gerät, das zur Organisation der Interaktion zwischen den Zellen verwendet wird. Auf dem neuen ivshmem kann ein Transport für VIRTIO implementiert werden;
- Die Möglichkeit, die Erstellung großer Speicherseiten (hugepage) zur Blockierung einer Sicherheitsanfälligkeit in Intel-Prozessoren zu deaktivieren, die es nicht privilegierten Angreifern ermöglichen, einen Dienstüberlastungsangriff einzuleiten, der das System in einen Zustand "Machine Check Error" versetzt;
- Für Systeme mit ARM64-Prozessoren wurde die Unterstützung von SMMUv3 (System Memory Management Unit) und TI PVU (Peripheral Virtualization Unit) implementiert. Für isolierte Umgebungen, die auf Hardware (bare-metal) ausgeführt werden, wurde PCI-Unterstützung hinzugefügt;
- Auf x86-Systemen wurde für die Root-Container die Möglichkeit implementiert, den von Intel-Prozessoren bereitgestellten CR4.UMIP-Modus (User-Mode Instruction Prevention) zu aktivieren, der die Ausführung bestimmter Instruktionen im Benutzermodus, wie SGDT, SLDT, SIDT, SMSW und STR, die bei Angriffen zur Erhöhung der Berechtigungen im System verwendet werden können, verbietet.
Quelle: opennet.ru
