{"id":115219,"date":"2024-04-21T14:30:09","date_gmt":"2024-04-21T12:30:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-kata-containers-3-4-s-izolyacziej-na-osnove-virtualizaczii"},"modified":"2024-04-21T14:30:09","modified_gmt":"2024-04-21T12:30:09","slug":"vypusk-kata-containers-3-4-s-izolyacziej-na-osnove-virtualizaczii","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/vypusk-kata-containers-3-4-s-izolyacziej-na-osnove-virtualizaczii","title":{"rendered":"Release von Kata Containers 3.4 mit Virtualisierungsbasierter Isolation","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Die Ausgabe von Kata Containers 3.4 wurde ver\u00f6ffentlicht, die eine Plattform f\u00fcr die Ausf\u00fchrung von Containern unter Verwendung vollst\u00e4ndiger Virtualisierungsmechanismen bietet. Das Projekt wurde von Intel und Hyper durch die Zusammenf\u00fchrung der Technologien Clear Containers und runV entwickelt. Der Code des Projekts ist in den Programmiersprachen Go und Rust geschrieben und wird unter der Apache 2.0-Lizenz ver\u00f6ffentlicht. Die Entwicklung des Projekts wird von einer Arbeitsgruppe geleitet, die unter der Schirmherrschaft der unabh\u00e4ngigen Organisation OpenInfra Foundation eingerichtet wurde, an der Unternehmen wie Canonical, China Mobile, Dell\/EMC, EasyStack, Google, Huawei, NetApp, Red Hat, SUSE und ZTE beteiligt sind. <\/p>\n

Die Grundlage von Kata bildet ein Runtime, das die Erstellung kompakter virtueller Maschinen erm\u00f6glicht, die mit einem vollst\u00e4ndigen Hypervisor betrieben werden, anstatt traditionelle Container zu verwenden, die einen gemeinsamen Linux-Kernel nutzen und mittels Namespaces und cgroups isoliert sind. Die Anwendung von virtuellen Maschinen<\/a> erm\u00f6glicht ein h\u00f6heres Ma\u00df an Sicherheit, das vor Angriffen sch\u00fctzt, die durch die Ausnutzung von Schwachstellen im Linux-Kernel verursacht werden. <\/p>\n

Kata Containers ist auf die Integration in bestehende Containerisolierungsinfrastrukturen ausgerichtet und erm\u00f6glicht den Einsatz virtueller Maschinen zur Verbesserung des Schutzes traditioneller Container. Das Projekt bietet Mechanismen zur Gew\u00e4hrleistung der Kompatibilit\u00e4t von leichtgewichtigen virtuellen Maschinen mit verschiedenen Containerisolierungsinfrastrukturen, Containerorchestrierungsplattformen und Spezifikationen wie OCI (Open Container Initiative), CRI (Container Runtime Interface) und CNI (Container Networking Interface). Es stehen Integrationswerkzeuge f\u00fcr Docker, Kubernetes, QEMU und OpenStack zur Verf\u00fcgung. <\/p>\n

Die Integration mit Containerverwaltungsystemen erfolgt \u00fcber eine Schicht, die die Containerverwaltung simuliert und \u00fcber eine gRPC-Schnittstelle sowie einen speziellen Proxy auf den Verwaltungsagenten in der virtuellen Maschine zugreift. Innerhalb der von einem Hypervisor gestarteten virtuellen Umgebung wird ein speziell optimierter Linux-Kernel verwendet, der nur die minimal notwendige Funktionalit\u00e4t enth\u00e4lt. <\/p>\n

Als Hypervisor wird Dragonball Sandbox (KVM-Edition, optimiert f\u00fcr Container) zusammen mit den Werkzeugen QEMU, Firecracker und Cloud Hypervisor unterst\u00fctzt. Die Systemumgebung beinhaltet einen Initialisierungsdaemon und einen Agenten. Der Agent erm\u00f6glicht die Ausf\u00fchrung bestimmter benutzerdefinierter Container-Images im OCI-Format f\u00fcr Docker und CRI f\u00fcr Kubernetes. Bei gleichzeitiger Verwendung mit Docker wird f\u00fcr jeden Container eine separate virtuelle Maschine<\/a>, d.h. die Umgebung, die \u00fcber den Hypervisor l\u00e4uft, wird f\u00fcr das verschachtelte Starten von Containern verwendet. <\/p>\n

\"Release<\/center> <\/p>\n

Zur Reduzierung des Speicherverbrauchs kommt der DAX-Mechanismus (Direkter Zugriff auf das Dateisystem ohne Seiten-Cache und ohne Verwendung von Blockger\u00e4teschichten) zum Einsatz, w\u00e4hrend KSM (Kernel Samepage Merging) zur Deduplication identischer Speicherbereiche eingesetzt wird. Dies erm\u00f6glicht eine gemeinsame Nutzung der Ressourcen des Hosts und die Verbindung eines gemeinsamen Systemumgebungs-Templates zu verschiedenen Gastsystemen. <\/p>\n

F\u00fcr den Zugriff auf Container-Images wird das Nydus-Dateisystem eingesetzt, das Inhaltsadressierung f\u00fcr eine effiziente Zusammenarbeit mit Standard-Images nutzt. Nydus unterst\u00fctzt das On-Demand-Image-Loading (l\u00e4dt nur bei Bedarf), bietet die Deduplication wiederholter Daten und kann verschiedene Backends f\u00fcr die tats\u00e4chliche Speicherung verwenden. Die Kompatibilit\u00e4t mit POSIX wird bereitgestellt (im Gegensatz zu Composefs kombiniert die Nydus-Implementierung die Funktionen von OverlayFS mit EROFS oder einem FUSE-Modul). <\/p>\n

In der neuen Version: <\/p>\n