Rilis Kata Containers 3.0 dengan isolasi berbasis virtualisasi

После двух лет разработки опубликован выпуск проекта Kata Containers 3.0, развивающего стек для организации выполнения контейнеров с использованием изоляции на базе полноценных механизмов виртуализации. Проект создан компаниями Intel и Hyper путём объединения технологий Clear Containers и runV. Код проекта написан на языках Go и Rust, и распространяется под лицензией Apache 2.0. Развитие проекта курирует рабочая группа, созданная под эгидой независимой организации OpenStack Foundation, в которой участвуют такие компании, как Canonical, China Mobile, Dell/EMC, EasyStack, Google, Huawei, NetApp, Red Hat, SUSE и ZTE.

Основу Kata составляет runtime, предоставляющий возможность создавать компактные виртуальные машины, выполняемые с использованием полноценного гипервизора, вместо применения традиционных контейнеров, использующих общее ядро Linux и изолированных при помощи пространств имён и cgroups. Применение виртуальных машин позволяет добиться более высокого уровня безопасности, защищающего от совершения атак, вызванных эксплуатацией уязвимостей в ядре Linux.

Kata Containers berfokus pada integrasi ke dalam infrastruktur isolasi kontainer yang ada dengan kemampuan menggunakan mesin virtual serupa untuk meningkatkan perlindungan kontainer tradisional. Proyek ini menyediakan mekanisme untuk memastikan kompatibilitas mesin virtual ringan dengan berbagai infrastruktur isolasi kontainer, platform orkestrasi kontainer, dan spesifikasi seperti OCI (Open Container Initiative), CRI (Container Runtime Interface) dan CNI (Container Networking Interface). Alat tersedia untuk integrasi dengan Docker, Kubernetes, QEMU dan OpenStack.

Integrasi dengan sistem pengelolaan container dicapai menggunakan lapisan yang menyimulasikan pengelolaan container, yang mengakses agen pengelola di mesin virtual melalui antarmuka gRPC dan proxy khusus. Di dalam lingkungan virtual yang diluncurkan oleh hypervisor, kernel Linux yang dioptimalkan secara khusus digunakan, hanya berisi serangkaian kemampuan minimum yang diperlukan.

Sebagai hypervisor, ini mendukung penggunaan Dragonball Sandbox (edisi KVM yang dioptimalkan untuk container) dengan toolkit QEMU, serta Firecracker dan Cloud Hypervisor. Lingkungan sistem mencakup daemon inisialisasi dan agen. Agen menyediakan eksekusi image container yang ditentukan pengguna dalam format OCI untuk Docker dan CRI untuk Kubernetes. Ketika digunakan bersama dengan Docker, mesin virtual terpisah dibuat untuk setiap container, mis. Lingkungan yang berjalan di atas hypervisor digunakan untuk peluncuran container yang disarangkan.

Untuk mengurangi konsumsi memori, mekanisme DAX digunakan (akses langsung ke sistem file, melewati cache halaman tanpa menggunakan tingkat perangkat blok), dan untuk menghapus duplikat area memori yang identik, teknologi KSM (Kernel Samepage Merging) digunakan, yang memungkinkan Anda untuk mengatur berbagi sumber daya sistem host dan terhubung ke sistem tamu yang berbeda, berbagi templat lingkungan sistem yang sama.

овой ерсии:

• Предложен альтернативный runtime (runtime-rs), формирующий начинку контейнеров, написанный на языке Rust (ранее поставляемый runtime написан на языке Go). Runtime совместим с OCI, CRI-O и Containerd, что позволяет использовать его с Docker и Kubernetes.
• Предложен новый гипервизор dragonball, основанный на KVM и rust-vmm.
• Добавлена поддержка проброса доступа к GPU, используя VFIO.
• Добавлена поддержка cgroup v2.
• Реализована поддержка подмены настроек без изменения основного файла конфигурации через замену блоков в отдельных файлах, размещаемых в каталоге «config.d/».
• В компонентах на языке Rust задействована новая библиотека для безопасной работы с файловыми путями.
• Компонент virtiofsd (написан на Си) заменён на virtiofsd-rs (написан на Rust).
• Добавлена поддержка sandbox-изоляции компонентов QEMU.
• В QEMU для асинхронного ввода/вывода задействован API io_uring.
• Для QEMU и Cloud-hypervisor реализована поддержка расширений Intel TDX (Trusted Domain Extensions).
• Обновлены компоненты: QEMU 6.2.0, Cloud-hypervisor 26.0, Firecracker 1.1.0, ядро Linux 5.19.2.

Sumber: opennet.ru