Release fan Kata Containers 3.0 mei virtualisaasje-basearre isolaasje

После двух лет разработки опубликован выпуск проекта Kata Containers 3.0, развивающего стек для организации выполнения контейнеров с использованием изоляции на базе полноценных механизмов виртуализации. Проект создан компаниями Intel и Hyper путём объединения технологий Clear Containers и runV. Код проекта написан на языках Go и Rust, и распространяется под лицензией Apache 2.0. Развитие проекта курирует рабочая группа, созданная под эгидой независимой организации OpenStack Foundation, в которой участвуют такие компании, как Canonical, China Mobile, Dell/EMC, EasyStack, Google, Huawei, NetApp, Red Hat, SUSE и ZTE.

Основу Kata составляет runtime, предоставляющий возможность создавать компактные виртуальные машины, выполняемые с использованием полноценного гипервизора, вместо применения традиционных контейнеров, использующих общее ядро Linux и изолированных при помощи пространств имён и cgroups. Применение виртуальных машин позволяет добиться более высокого уровня безопасности, защищающего от совершения атак, вызванных эксплуатацией уязвимостей в ядре Linux.

Kata Containers is rjochte op yntegraasje yn besteande ynfrastruktuer foar kontenerisolaasje mei de mooglikheid om ferlykbere firtuele masines te brûken om de beskerming fan tradisjonele konteners te ferbetterjen. It projekt leveret meganismen om kompatibiliteit te garandearjen fan lichtgewicht firtuele masines mei ferskate ynfrastruktuer foar kontenerisolaasje, kontenerorkestraasjeplatfoarms en spesifikaasjes lykas OCI (Open Container Initiative), CRI (Container Runtime Interface) en CNI (Container Networking Interface). Tools binne beskikber foar yntegraasje mei Docker, Kubernetes, QEMU en OpenStack.

Yntegraasje mei kontenerbehearsystemen wurdt berikt mei in laach dy't kontenerbehear simulearret, dy't tagong hat ta de behearder yn 'e firtuele masine fia de gRPC-ynterface en in spesjale proxy. Binnen de firtuele omjouwing, dy't wurdt lansearre troch de hypervisor, wurdt in spesjaal optimisearre Linux-kernel brûkt, dy't allinich de minimale set fan nedige mooglikheden befettet.

As hypervisor stipet it it gebrûk fan Dragonball Sandbox (in edysje fan KVM optimalisearre foar konteners) mei de QEMU toolkit, lykas Firecracker en Cloud Hypervisor. De systeemomjouwing omfettet in initialisaasjedaemon en in agint. De agint leveret útfiering fan troch brûkers definieare kontenerôfbyldings yn OCI-formaat foar Docker en CRI foar Kubernetes. Wannear't brûkt wurdt yn gearhing mei Docker, wurdt in aparte firtuele masine makke foar elke kontener, d.w.s. De omjouwing dy't boppe op 'e hypervisor rint, wurdt brûkt foar nestele lansearring fan konteners.

Om ûnthâldferbrûk te ferminderjen, wurdt it DAX-meganisme brûkt (direkte tagong ta it bestânsysteem, it omgean fan de side-cache sûnder it blokapparaatnivo te brûken), en om identike ûnthâldgebieten te deduplikearjen, wurdt KSM (Kernel Samepage Merging) technology brûkt, wêrtroch jo om it dielen fan hostsysteemboarnen te organisearjen en te ferbinen mei ferskate gastsystemen diele in mienskiplike systeemomjouwingssjabloan.

Yn de nije ferzje:

• Предложен альтернативный runtime (runtime-rs), формирующий начинку контейнеров, написанный на языке Rust (ранее поставляемый runtime написан на языке Go). Runtime совместим с OCI, CRI-O и Containerd, что позволяет использовать его с Docker и Kubernetes.
• Предложен новый гипервизор dragonball, основанный на KVM и rust-vmm.
• Добавлена поддержка проброса доступа к GPU, используя VFIO.
• Добавлена поддержка cgroup v2.
• Реализована поддержка подмены настроек без изменения основного файла конфигурации через замену блоков в отдельных файлах, размещаемых в каталоге «config.d/».
• В компонентах на языке Rust задействована новая библиотека для безопасной работы с файловыми путями.
• Компонент virtiofsd (написан на Си) заменён на virtiofsd-rs (написан на Rust).
• Добавлена поддержка sandbox-изоляции компонентов QEMU.
• В QEMU для асинхронного ввода/вывода задействован API io_uring.
• Для QEMU и Cloud-hypervisor реализована поддержка расширений Intel TDX (Trusted Domain Extensions).
• Обновлены компоненты: QEMU 6.2.0, Cloud-hypervisor 26.0, Firecracker 1.1.0, ядро Linux 5.19.2.

Boarne: opennet.ru