Microsoft tutvustas Hyperlighti, hüperviisorit rakenduste erifunktsioonide isoleerimiseks.

Ettevõte Microsoft tutvustas projekti Hyperlight, mis arendab hüperviisorit, mille eesmärk on integreerida rakendustesse koodi isoleeritud täitmiseks, mis ei ole usaldusväärne või vajab erilist kaitset. Hüperviisor on kujundatud jagatud raamatukoguna, mis võimaldab erifunktsioonide täitmist kergetes virtuaalmasinates (micro-VM) ja korraldab selle funktsioonide vahel andmevahetust. Projekti kood on kirjutatud keeles Rust ja on litsentseeritud Apache 2.0 alusel.

Võrreldes traditsioonilise käivitamisega virtuaalmasinate Hyperlight võimaldab saavutada madalaid viivitusi ja minimaalset overheadi. Hyperlighti puhul on virtuaalmasinate loomise viivitused 1-2 millisekundit, mis võimaldab rakendusi isoleerida funktsioonide käivitamise tasandil. Võrdluseks, tavapäraste virtuaalmasinate käivitamine toimub mitte vähem kui 120 millisekundi jooksul, samas kui isoleeritud liivakasti keskkonna käivitamine WebAssembly koodi täitmiseks, kasutades Wasmtime runtime'i, kestab 0.03 millisekundit.

Isolatsiooni toetamiseks Linuxi platvormil toetatakse hüperviisorite KVM ja mshv (Microsoft Hypervisor Azure Linuxis) kasutamist, Windowsi platvormil aga WHP (Windows Hypervisor Platform) ja WSL2 (Windows Subsystem for Linux 2) koos KVM-iga. macOS platvorm praegu ei ole toetatud. Eraldi tuuma ja operatsioonisüsteemi ei virtuaalses masinas kasutata. Virtuaalmasina komponendid on moodustatud iseseisva laadimisprogrammina, mis sisaldab käivitatava funktsiooni koodi runtime'i ja spetsialiseeritud minimaalsete tuumade ümbrises. Virtuaalmasinas kasutatakse ühte lineaarset mälufragmendi ja määratakse virtuaalne CPU, ilma seadmete kaardistamiseta ja protsesside eristamiseta.

Arendusprotsess põhineb rakenduse põhikoodi sidumisel Hyperlight Host raamatukoguga, mis koordineerib virtuaalmasinate käivitamist, ja isoleeritud režiimis käivitavate funktsioonide (külaliste funktsioonide) koodi sidumisel Hyperlight Guest raamatukoguga, mis pakub API-d rakenduse välisosadega suhtlemiseks ja võimalusi koodi eraldi täitmiseks ilma operatsioonisüsteemi keskkonnata.

Pakutav kiht, mis võimaldab suhtlemist hostrakenduse ja isoleeritud funktsioonide vahel, võimaldab mitte ainult kutsuda isoleeritud funktsioone hostrakendustest, vaid ka pöörduda hostrakenduse funktsioonide poole isoleeritud funktsioonidest. Loetelu välistest funktsioonidest, mida võib isoleeritud funktsioonidest kutsuda, on rangelt reguleeritud. Vaikimisi on isoleeritud funktsioonidest juurdepääs piiratud minimaalsete API-dega, mis võimaldavad edastada sõnumeid hostrakendusele.

Tulevikus kavatseb Microsoft projekti edastada mittetulundusühingule Cloud Native Computing Foundation (CNCF), et arendada seda koostöös neutraalses keskkonnas, mis ei sõltu üksikutest tootjatest. CNCF korraldab oma tegevust Linux Foundation'i all ja juhib selliste projektide arendamist nagu Kubernetes, etcd, Cilium, Containerd, cri-o, Flux, Helm, Istio ja gRPC.

Allikas: opennet.ru