Megjelent a Kata Containers 3.4 kiadása, amely egy konténer futtatási keretrendszert fejleszt, teljes virtualizációs mechanizmusok alapú izolációval. A projektet az Intel és a Hyper alakította ki a Clear Containers és a runV technológiák egyesítésével. A projekt kódja Go és Rust nyelveken készült, és az Apache 2.0 licenc alatt terjed. A projekt fejlesztését egy munkacsoport irányítja, amelyet az OpenInfra Foundation független szervezete alatt hoztak létre, olyan cégek részvételével, mint a Canonical, a China Mobile, a Dell/EMC, az EasyStack, a Google, a Huawei, a NetApp, a Red Hat, a SUSE és a ZTE.
A Kata alapját képező runtime lehetővé teszi kompakt virtuális gépek létrehozását, amelyek teljes körű hypervisorral futnak, ahelyett, hogy hagyományos konténereket használnának, amelyek közös Linux magot használnak és névterekkel és cgroups-szal elkülönítettek. Az alkalmazás virtuális gépekhez nagyobb biztonsági szint elérését teszi lehetővé, amely megvéd a Linux magban található sérülékenységek kihasználásával végzett támadásoktól.
A Kata Containers a meglévő konténerelszigetelési infrastruktúrák integrálására összpontosít, lehetőséget biztosítva az ilyen virtuális gépek alkalmazására a hagyományos konténerek védelmének fokozására. A projekt eszközöket biztosít a könnyű virtuális gépek különböző konténerelszigetelési infrastruktúrákkal, konténerorkesztráló platformokkal és specifikációkkal, például OCI (Open Container Initiative), CRI (Container Runtime Interface) és CNI (Container Networking Interface) kompatibilitásának biztosítására. Elérhetők az integrációs eszközök a Docker, Kubernetes, QEMU és OpenStack platformokkal.
Az integráció a konténerkezelő rendszerekkel egy olyan réteg segítségével valósul meg, amely szimulálja a konténer kezelését, amely gRPC interfészen és speciális proxy-n keresztül lép kapcsolatba a virtuális gépben lévő kezelő ügynökkel. A hypervisor által indított virtuális környezetben egy speciálisan optimalizált Linux kernel kerül felhasználásra, amely csak a szükséges funkciók minimális halmazát tartalmazza.
A hypervisor supports the use of Dragonball Sandbox (KVM edition optimized for containers) with the QEMU toolkit, as well as Firecracker and Cloud Hypervisor. The system environment includes an initialization daemon and an agent (Agent). The agent ensures the execution of user-defined container images in OCI format for Docker and CRI for Kubernetes. When used alongside Docker, a separate virtuális gép, i.e., an environment running on top of the hypervisor is applied for nested container launches.
To reduce memory consumption, the DAX mechanism (direct access to the file system bypassing the page cache without using block device levels) is utilized, and for deduplication of identical memory areas, the KSM (Kernel Samepage Merging) technology is applied, allowing resource sharing of the host system and connecting a shared system environment template to different guest systems.
A konténerképek eléréséhez a Nydus fájlrendszer kerül alkalmazásra, amely tartalom-alapú címezést használ az alapértelmezett képekkel való hatékony együttműködés érdekében. A Nydus támogatja a képek on-demand betöltését (csak szükség esetén tölti le), biztosítja az ismétlődő adatok deduplikálását, és különböző backendek használatát a tényleges tárolásra. POSIX kompatibilitást biztosít (a Composefs-hez hasonlóan a Nydus megvalósítása az OverlayFS és az EROFS vagy FUSE modulok lehetőségeit ötvözi).
Az új verzióban:
- A Dragonball virtuális gépkezelőbe integrálták a GPU forró csatlakoztatásának támogatását és a MTRR (Memory-Type Range Registers) regiszterek használatának lehetőségét a fizikai memória területeihez való hozzáférés biztosítása érdekében.
- A Rust nyelven írt runtime-rs implementációjában teljes szál-, pid- és tid-kezelés valósult meg, valamint átdolgozták a qemu drivert, amelyet s390 (IBM Z) architektúrájú rendszereken használnak.
- Frissítették a snapshot készítő szolgáltatást a Nydus fájlrendszer használatával.
- A konténerképek kezelésének szolgáltatásában javították a memóriahatékonyságot.
- Alapértelmezetten engedélyezve van a cgroups-v2 hierarchia rendszerindítás alatti csatlakoztatása a systemd által.
- Lehetővé vált a timeout meghatározása a nagyon nagy képek vendég rendszerekbe történő megszerzésének korlátozására.
- Támogatást kaptak az OPA-ügent (Open Policy Agent) tartalmazó build-ek a ppc64le és s390x architektúrákhoz.
Forrás: opennet.ru
