{"id":115219,"date":"2024-04-21T14:30:09","date_gmt":"2024-04-21T12:30:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-kata-containers-3-4-s-izolyacziej-na-osnove-virtualizaczii"},"modified":"2024-04-21T14:30:09","modified_gmt":"2024-04-21T12:30:09","slug":"vypusk-kata-containers-3-4-s-izolyacziej-na-osnove-virtualizaczii","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/vypusk-kata-containers-3-4-s-izolyacziej-na-osnove-virtualizaczii","title":{"rendered":"Publication de Kata Containers 3.4 avec isolation bas\u00e9e sur la virtualisation.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

La version 3.4 du projet Kata Containers a \u00e9t\u00e9 publi\u00e9e, d\u00e9veloppant une pile pour l'ex\u00e9cution de conteneurs en utilisant l'isolement bas\u00e9 sur des m\u00e9canismes de virtualisation complets. Le projet a \u00e9t\u00e9 cr\u00e9\u00e9 par Intel et Hyper par la fusion des technologies Clear Containers et runV. Le code du projet est \u00e9crit en Go et Rust, et est distribu\u00e9 sous la licence Apache 2.0. Le projet est supervis\u00e9 par un groupe de travail cr\u00e9\u00e9 sous l'\u00e9gide de l'organisation ind\u00e9pendante OpenInfra Foundation, qui inclut des entreprises telles que Canonical, China Mobile, Dell\/EMC, EasyStack, Google, Huawei, NetApp, Red Hat, SUSE et ZTE. <\/p>\n

La base de Kata est un runtime permettant de cr\u00e9er des machines virtuelles compactes, ex\u00e9cut\u00e9es en utilisant un hyperviseur complet, au lieu d'utiliser des conteneurs traditionnels qui partagent le noyau Linux et sont isol\u00e9s par des espaces de noms et des cgroups. L'utilisation de machines virtuelles<\/a> permet d'atteindre un niveau de s\u00e9curit\u00e9 plus \u00e9lev\u00e9, prot\u00e9geant contre les attaques r\u00e9sultant de l'exploitation de vuln\u00e9rabilit\u00e9s dans le noyau Linux. <\/p>\n

Kata Containers est orient\u00e9 vers l'int\u00e9gration dans les infrastructures d'isolement de conteneurs existantes, avec la possibilit\u00e9 d'utiliser des machines virtuelles similaires pour renforcer la protection des conteneurs traditionnels. Le projet fournit des m\u00e9canismes pour assurer la compatibilit\u00e9 des machines virtuelles l\u00e9g\u00e8res avec diverses infrastructures d'isolement de conteneurs, plates-formes d'orchestration de conteneurs et sp\u00e9cifications telles que OCI (Open Container Initiative), CRI (Container Runtime Interface) et CNI (Container Networking Interface). Des outils d'int\u00e9gration avec Docker, Kubernetes, QEMU et OpenStack sont disponibles. <\/p>\n

L'int\u00e9gration avec les syst\u00e8mes de gestion de conteneurs est r\u00e9alis\u00e9e par une couche qui simule la gestion d'un conteneur, qui, via une interface gRPC et un proxy sp\u00e9cial, communique avec l'agent de gestion dans la machine virtuelle. \u00c0 l'int\u00e9rieur de l'environnement virtuel, qui est lanc\u00e9 par l'hyperviseur, un noyau Linux sp\u00e9cialement optimis\u00e9 est utilis\u00e9, contenant seulement l'ensemble minimal de fonctionnalit\u00e9s n\u00e9cessaires. <\/p>\n

Dragonball Sandbox (\u00e9dition KVM optimis\u00e9e pour les conteneurs) est pris en charge comme hyperviseur, avec des outils QEMU, ainsi que Firecracker et Cloud Hypervisor. L'environnement syst\u00e8me comprend un d\u00e9mon d'initialisation et un agent (Agent). L'Agent permet l'ex\u00e9cution d'images de conteneur sp\u00e9cifi\u00e9es par l'utilisateur au format OCI pour Docker et CRI pour Kubernetes. Lorsqu'il est utilis\u00e9 avec Docker, un conteneur distinct est cr\u00e9\u00e9 pour chaque conteneur. machine virtuelle<\/a>, c'est-\u00e0-dire qu'un environnement ex\u00e9cut\u00e9 au-dessus de l'hyperviseur est appliqu\u00e9 pour le lancement imbriqu\u00e9 des conteneurs. <\/p>\n

\"Publication<\/center> <\/p>\n

Pour r\u00e9duire la consommation de m\u00e9moire, un m\u00e9canisme DAX (acc\u00e8s direct au syst\u00e8me de fichiers contournant le cache de pages sans utiliser le niveau de dispositifs de blocs) est utilis\u00e9, et la technologie KSM (Kernel Samepage Merging) est appliqu\u00e9e pour la d\u00e9duplication des zones de m\u00e9moire identiques, ce qui permet de partager les ressources du syst\u00e8me h\u00f4te et de connecter \u00e0 diff\u00e9rents syst\u00e8mes invit\u00e9s un mod\u00e8le d'environnement syst\u00e8me commun. <\/p>\n

Un syst\u00e8me de fichiers Nydus est utilis\u00e9 pour organiser l'acc\u00e8s aux images de conteneurs, utilisant un adressage bas\u00e9 sur le contenu pour une collaboration efficace avec les images standard. Nydus prend en charge le chargement \u00e0 la vol\u00e9e des images (ne les charge que lorsque cela est n\u00e9cessaire), fournit la d\u00e9duplication des donn\u00e9es r\u00e9p\u00e9t\u00e9es et peut utiliser diff\u00e9rents backend pour le stockage r\u00e9el. La compatibilit\u00e9 avec POSIX est assur\u00e9e (\u00e0 l'instar de Composefs, l'impl\u00e9mentation de Nydus combine les capacit\u00e9s d'OverlayFS avec EROFS ou un module FUSE). <\/p>\n

Dans la nouvelle version : <\/p>\n