{"id":105291,"date":"2022-10-12T03:36:45","date_gmt":"2022-10-12T01:36:47","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-kata-containers-3-0-s-izolyacziej-na-osnove-virtualizaczii"},"modified":"2022-10-12T03:36:45","modified_gmt":"2022-10-12T01:36:47","slug":"vypusk-kata-containers-3-0-s-izolyacziej-na-osnove-virtualizaczii","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/vypusk-kata-containers-3-0-s-izolyacziej-na-osnove-virtualizaczii","title":{"rendered":"Ver\u00f6ffentlichung von Kata Containers 3.0 mit virtualisierungsbasiertem Isolation","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Nach zwei Jahren Entwicklung wird die Version 3.0 des Kata Containers-Projekts ver\u00f6ffentlicht, das einen Stack f\u00fcr die Ausf\u00fchrung von Containern unter Verwendung von Basis-Mechanismen der Vollvirtualisierung entwickelt. Das Projekt wurde von Intel und Hyper ins Leben gerufen, indem die Technologien von Clear Containers und runV zusammengef\u00fchrt wurden. Der Code des Projekts ist in den Programmiersprachen Go und Rust verfasst und wird unter der Apache 2.0-Lizenz ver\u00f6ffentlicht. Das Projekt wird von einer Arbeitsgruppe betreut, die unter dem Schirm der unabh\u00e4ngigen Organisation OpenStack Foundation gegr\u00fcndet wurde und an der Unternehmen wie Canonical, China Mobile, Dell\/EMC, EasyStack, Google, Huawei, NetApp, Red Hat, SUSE und ZTE beteiligt sind. <\/p>\n

Die Grundlage von Kata bildet ein Runtime, das die M\u00f6glichkeit bietet, kompakte virtuelle Maschinen zu erstellen, die unter Verwendung eines vollst\u00e4ndigen Hypervisors ausgef\u00fchrt werden, anstelle von traditionellen Containern, die einen gemeinsamen Linux-Kernel nutzen und durch Namensr\u00e4ume sowie cgroups isoliert sind. Der Einsatz von virtuellen Maschinen<\/a> erm\u00f6glicht ein h\u00f6heres Ma\u00df an Sicherheit, das vor Angriffen sch\u00fctzt, die durch die Ausnutzung von Schwachstellen im Linux-Kernel verursacht werden. <\/p>\n

Kata Containers ist auf die Integration in bestehende Containerisolierungsinfrastrukturen ausgerichtet und erm\u00f6glicht den Einsatz virtueller Maschinen zur Verbesserung des Schutzes traditioneller Container. Das Projekt bietet Mechanismen zur Gew\u00e4hrleistung der Kompatibilit\u00e4t von leichtgewichtigen virtuellen Maschinen mit verschiedenen Containerisolierungsinfrastrukturen, Containerorchestrierungsplattformen und Spezifikationen wie OCI (Open Container Initiative), CRI (Container Runtime Interface) und CNI (Container Networking Interface). Es stehen Integrationswerkzeuge f\u00fcr Docker, Kubernetes, QEMU und OpenStack zur Verf\u00fcgung. <\/p>\n

\"Ver\u00f6ffentlichung<\/center> <\/p>\n

Die Integration mit Containerverwaltungsystemen erfolgt \u00fcber eine Schicht, die die Containerverwaltung simuliert und \u00fcber eine gRPC-Schnittstelle sowie einen speziellen Proxy auf den Verwaltungsagenten in der virtuellen Maschine zugreift. Innerhalb der von einem Hypervisor gestarteten virtuellen Umgebung wird ein speziell optimierter Linux-Kernel verwendet, der nur die minimal notwendige Funktionalit\u00e4t enth\u00e4lt. <\/p>\n

Als Hypervisor wird Dragonball Sandbox (KVM-Edition, optimiert f\u00fcr Container) zusammen mit den Werkzeugen QEMU, Firecracker und Cloud Hypervisor unterst\u00fctzt. Die Systemumgebung beinhaltet einen Initialisierungsdaemon und einen Agenten. Der Agent erm\u00f6glicht die Ausf\u00fchrung bestimmter benutzerdefinierter Container-Images im OCI-Format f\u00fcr Docker und CRI f\u00fcr Kubernetes. Bei gleichzeitiger Verwendung mit Docker wird f\u00fcr jeden Container eine separate virtuelle Maschine<\/a>, d.h. die Umgebung, die \u00fcber den Hypervisor l\u00e4uft, wird f\u00fcr das verschachtelte Starten von Containern verwendet.

\"Ver\u00f6ffentlichung<\/center> <\/p>\n

Zur Reduzierung des Speicherverbrauchs kommt der DAX-Mechanismus (Direkter Zugriff auf das Dateisystem ohne Seiten-Cache und ohne Verwendung von Blockger\u00e4teschichten) zum Einsatz, w\u00e4hrend KSM (Kernel Samepage Merging) zur Deduplication identischer Speicherbereiche eingesetzt wird. Dies erm\u00f6glicht eine gemeinsame Nutzung der Ressourcen des Hosts und die Verbindung eines gemeinsamen Systemumgebungs-Templates zu verschiedenen Gastsystemen. <\/p>\n

In der neuen Version: <\/p>\n