{"id":115219,"date":"2024-04-21T14:30:09","date_gmt":"2024-04-21T12:30:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-kata-containers-3-4-s-izolyacziej-na-osnove-virtualizaczii"},"modified":"2024-04-21T14:30:09","modified_gmt":"2024-04-21T12:30:09","slug":"vypusk-kata-containers-3-4-s-izolyacziej-na-osnove-virtualizaczii","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/vypusk-kata-containers-3-4-s-izolyacziej-na-osnove-virtualizaczii","title":{"rendered":"Die Ver\u00f6ffentlichung von Kata Containers 3.4 mit Virtualisierungsbasierter Isolierung","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Die Ver\u00f6ffentlichung von Kata Containers 3.4 wurde bekannt gegeben, die eine Plattform f\u00fcr die Ausf\u00fchrung von Containern unter Verwendung einer vollwertigen Virtualisierungsisolation entwickelt. Das Projekt wurde von den Unternehmen Intel und Hyper aus der Zusammenlegung der Technologien Clear Containers und runV ins Leben gerufen. Der Code des Projekts ist in den Programmiersprachen Go und Rust geschrieben und wird unter der Lizenz Apache 2.0 verbreitet. Die Weiterentwicklung des Projekts wird von einer Arbeitsgruppe betreut, die unter der Schirmherrschaft der unabh\u00e4ngigen Organisation OpenInfra Foundation gegr\u00fcndet wurde, an der Unternehmen wie Canonical, China Mobile, Dell\/EMC, EasyStack, Google, Huawei, NetApp, Red Hat, SUSE und ZTE teilnehmen. <\/p>\n

Die Grundlage von Kata bildet eine Runtime, die es erm\u00f6glicht, kompakte virtuelle Maschinen zu erstellen, die unter Verwendung eines vollst\u00e4ndigen Hypervisors betrieben werden, anstelle von traditionellen Containern, die einen gemeinsamen Linux-Kernel nutzen und durch Namespaces und cgroups isoliert sind. Die Anwendung virtuelle Maschinen<\/a> erm\u00f6glicht ein h\u00f6heres Sicherheitsniveau, das vor Angriffen sch\u00fctzt, die durch die Ausnutzung von Schwachstellen im Linux-Kernel verursacht werden. <\/p>\n

Kata Containers ist auf die Integration in bestehende Container-Isolierungsinfrastrukturen ausgerichtet und erm\u00f6glicht die Verwendung solcher virtuellen Maschinen zur Erh\u00f6hung der Sicherheit traditioneller Container. Das Projekt bietet Mechanismen zur Sicherstellung der Kompatibilit\u00e4t von leichten virtuellen Maschinen mit verschiedenen Container-Isolierungsinfrastrukturen, Container-Orchestrierungsplattformen und Spezifikationen wie OCI (Open Container Initiative), CRI (Container Runtime Interface) und CNI (Container Networking Interface). Werkzeuge zur Integration mit Docker, Kubernetes, QEMU und OpenStack sind verf\u00fcgbar. <\/p>\n

Die Integration mit Containerverwaltungsystemen erfolgt \u00fcber eine Schicht, die die Containerverwaltung simuliert, die \u00fcber eine gRPC-Schnittstelle und einen speziellen Proxy auf den verwaltenden Agenten in der virtuellen Maschine zugreift. Innerhalb der virtuellen Umgebung, die vom Hypervisor gestartet wird, kommt ein speziell optimierter Linux-Kernel zum Einsatz, der nur den minimalen Satz notwendiger Funktionen enth\u00e4lt. <\/p>\n

Als Hypervisor wird Dragonball Sandbox (KVM-Edition, optimiert f\u00fcr Container) mit den Werkzeugen QEMU sowie Firecracker und Cloud Hypervisor unterst\u00fctzt. Die Systemumgebung umfasst einen Initialisierungsdaemon und einen Agenten (Agent). Der Agent sorgt f\u00fcr die Ausf\u00fchrung benutzerdefinierter Container-Images im OCI-Format f\u00fcr Docker und im CRI-Format f\u00fcr Kubernetes. Bei der Verwendung mit Docker wird f\u00fcr jeden Container eine separate eine virtuelle Maschine<\/a>, d.h. die \u00fcber dem Hypervisor gestartete Umgebung wird f\u00fcr das verschachtelte Starten von Containern verwendet. <\/p>\n

\"Die<\/center> <\/p>\n

Zur Reduzierung des Speicherverbrauchs wird der DAX-Mechanismus (direkter Zugriff auf das Dateisystem, um den Seiten-Cache ohne Blockger\u00e4te-Ebene zu umgehen) eingesetzt, und zur Deduplizierung identischer Speicherbereiche wird die KSM-Technologie (Kernel Samepage Merging) genutzt, die es erm\u00f6glicht, die Ressourcen des Host-Systems gemeinsam zu nutzen und ein gemeinsames Vorlagen-Sytemumfeld an verschiedene Gastsysteme anzuschlie\u00dfen. <\/p>\n

F\u00fcr den Zugriff auf Container-Images wird das Nydus-Dateisystem verwendet, das Inhaltsadressierung f\u00fcr eine effiziente Zusammenarbeit mit Standard-Images nutzt. Nydus unterst\u00fctzt das On-Demand-Laden von Images (l\u00e4dt nur bei Bedarf), bietet die Deduplication von sich wiederholenden Daten und kann verschiedene Backends f\u00fcr die tats\u00e4chliche Speicherung nutzen. Es wird Kompatibilit\u00e4t mit POSIX bereitgestellt (\u00e4hnlich wie bei Composefs kombiniert die Nydus-Implementierung die Funktionen von OverlayFS mit EROFS oder einem FUSE-Modul). <\/p>\n

In der neuen Version: <\/p>\n