Kata Containers 3.0 väljaande virtuaaliseerimise põhine eraldatus

Pärast kahe aasta arendust on avaldatud Kata Containers 3.0 projekt, mis arendab konteinerite käitamise korraldamise steki, kasutades põhjalikke virtuaaliseerimismeetodeid. Projekt on loodud ettevõtete Intel ja Hyper poolt, ühendades Clear Containers ja runV tehnoloogiad. Projekti kood on kirjutatud keeltes Go ja Rust ning jagatakse Apache 2.0 litsentsi alusel. Projekti arendust juhib töögrupp, mis on loodud sõltumatu organisatsiooni OpenStack Foundation all, kuhu kuuluvad sellised ettevõtted nagu Canonical, China Mobile, Dell/EMC, EasyStack, Google, Huawei, NetApp, Red Hat, SUSE ja ZTE.

Kata aluseks on runtime, mis võimaldab luua kompaktseid virtuaalmasinaid, mis töötavad täieliku hüperviisori abil, asemel et kasutada traditsioonilisi konteinerit, mis kasutavad jagatud Linuxi tuuma ja eraldi ruume nimede ning cgroupide abil. Kasutamine virtuaalmasinate võimaldab saavutada kõrgemat turvataset, mis kaitseb rünnakute eest, mis tulenevad Linuxi tuuma haavatavuste ärakasutamisest.

Kata Containers on suunatud integreerimiseks olemasolevatesse konteineri eraldamise infrastruktuuridesse, võimaldades selliste virtuaalmasinate kasutamist traditsiooniliste konteinerite kaitse tugevdamiseks. Projekt pakub mehhanisme kergemate virtuaalmasinate ühilduvuse tagamiseks erinevate konteineri eraldamise infrastruktuuride, konteinerite orkestreerimise platvormide ja standardite, nagu OCI (Open Container Initiative), CRI (Container Runtime Interface) ja CNI (Container Networking Interface) osas. Saadaval on tööriistad Dockeriga, Kubernetesega, QEMU ja OpenStackiga integreerimiseks.

Integreerimine konteinerihalduse süsteemidega toimub asioomise kaudu, mis simuleerib konteineri haldamist, mis gRPC liidese ja spetsiaalse proksiga pöördub virtuaalmasinas tegutseva haldusagendi poole. Virtuaalses keskkonnas, mida käitab hüperviisor, kasutatakse spetsiaalselt optimeeritud Linuxi tuuma, mis sisaldab ainult minimaalset vajalikku funktsionaalsust.

Hüperviisorina toetatakse Dragonball Sandbox'i kasutamist (KVM versioon, mis on optimeeritud konteinerite jaoks) koos QEMU tööriistadega, samuti Firecracker ja Cloud Hypervisor. Süsteemi keskkond sisaldab initsialiseerimise deemonit ja agenti (Agent). Agent tagab kasutaja määratud OCI vormingus konteineripiltide täitmise Dockerile ja CRI-le Kuberneteses. Koos Dockeriga luuakse iga konteineri jaoks eraldi virtuiaalmasin, st ühitades hüperviisori keskkonda, kasutatakse konteinerite siseläbiviimiseks.

Mälu tarbimise vähendamiseks kasutatakse DAX mehhanismi (otsene pääs failisüsteemile, mööda lehevahetuse vahemälu ja ilma plokkseadmestuse taset kasutamata) ning identsete mälualade deduplikatsiooni jaoks kasutatakse KSM-i (Kernel Samepage Merging) tehnoloogiat, mis võimaldab host-süsteemi ressursside jagamist ja erinevatele külalisüsteemidele ühise süsteemi keskkonna malli ühendamist.

Uues versioonis:

• Pakutakse välja alternatiivne runtime (runtime-rs), mis moodustab konteinerite sisu, kirjutatud Rusti keeles (eelnevalt pakutud runtime oli kirjutatud Go keeles). Runtime on ühilduv OCI, CRI-O ja Containerd'iga, võimaldades seda kasutada Dockeris ja Kuberneteses.
• Pakutakse välja uus hüperviisor dragonball, mis põhineb KVM-il ja rust-vmm-il.
• Lisatud GPU ligipääsu edastamise tugi, kasutades VFIO-d.
• Lisatud cgroup v2 tugi.
• Teostatud tugifailide seadete asendamine ilma peamise konfiguratsioonifaili muutmata, asendades plokke eraldi failides, mis asuvad kataloogis "config.d/".
• Rustis kirjutatud komponentides on kasutusele võetud uus teek failiteede turvaliseks haldamiseks.
• virtiofsd komponent (kirjutatud C keeles) asendati virtiofsd-rs-iga (kirjutatud Rustis).
• Lisatud sandbox-isolatsiooni tugi QEMU komponentide jaoks.
• QEMU-s kasutatakse asünkroonsete sisend-väljundite jaoks io_uring API-d.
• QEMU ja Cloud-hypervisor jaoks rakendati Intel TDX (Trusted Domain Extensions) laienduste tugi.
• Komponendid on värskendatud: QEMU 6.2.0, Cloud-hypervisor 26.0, Firecracker 1.1.0, Linuxi kernel 5.19.2.

Allikas: opennet.ru