Runj — OCI-kompatibles Tool zur Verwaltung von Containern basierend auf FreeBSD Jail

Samuel Karp, Ingenieur bei Amazon, der an der Entwicklung der Linux-Distribution Bottlerocket und Technologien zur Containerisolierung für AWS arbeitet, entwickelt ein neues Runtime-Umfeld namens runj, das auf FreeBSD-Jail-Umgebungen basiert und die isolierte Ausführung von Containern ermöglicht, die gemäß der OCI-Spezifikation (Open Container Initiative) formatiert sind. Das Projekt wird als experimentell positioniert, wird in der Freizeit in Abwesenheit seiner Hauptarbeit entwickelt und befindet sich derzeit in der Prototyp-Phase. Der Code ist in Go geschrieben und wird unter der BSD-Lizenz veröffentlicht.

Nachdem die Entwicklung auf das entsprechende Niveau gebracht wurde, könnte das Projekt potenziell so weit wachsen, dass runj als Ersatz für das Standard-Runtime in Docker- und Kubernetes-Systemen verwendet werden kann, wobei FreeBSD statt Linux zur Ausführung von Containern genutzt wird. Der OCI-Runtime unterstützt derzeit Befehle zum Erstellen, Löschen, Starten, Zwingen zum Beenden und Prüfen des Status von Containern. Der Inhalt des Containers wird auf Basis einer Standard- oder reduzierten FreeBSD-Umgebung erstellt.

Da die Spezifikation OCI derzeit noch keine Unterstützung für FreeBSD bietet, wurde im Rahmen des Projekts eine Reihe zusätzlicher Parameter entwickelt, die mit der Einrichtung von Jail und FreeBSD verbunden sind. Diese sollen zur Aufnahme in die Hauptspezifikation OCI übermittelt werden. Zur Verwaltung von Jail werden die Utilities jail, jls, jexec, kill und ps aus FreeBSD verwendet, ohne direkte Systemaufrufe. Zu den zukünftigen Plänen gehört die Erhöhung der Unterstützung für die Steuerung von Ressourcenbeschränkungen über das RCTL-Interface des Kernels.

Neben der eigenen Laufzeitumgebung entwickelt das Projekt auch eine experimentelle Schicht zur Verwendung zusammen mit der Laufzeit containerd (verwendet in Docker), die für die Unterstützung von FreeBSD modifiziert wurde. Um das rootfs von FreeBSD in ein OCI-kompatibles Container-Image umzuwandeln, wird ein spezielles Utility vorgeschlagen. Das erstellte Image kann später in containerd importiert werden.

Quelle: opennet.ru