È stata pubblicata la versione 3.2 del progetto Kata Containers, che sviluppa un framework per l'esecuzione di container utilizzando l'isolamento basato su meccanismi di virtualizzazione completa. Il progetto è stato creato dalle aziende Intel e Hyper attraverso la fusione delle tecnologie Clear Containers e runV. Il codice del progetto è scritto nei linguaggi Go e Rust e viene distribuito sotto licenza Apache 2.0. Lo sviluppo del progetto è supervisionato da un gruppo di lavoro creato sotto l'egida della OpenStack Foundation, che comprende aziende come Canonical, China Mobile, Dell/EMC, EasyStack, Google, Huawei, NetApp, Red Hat, SUSE e ZTE.
Alla base di Kata c'è un runtime che consente di creare macchine virtuali compatte, eseguite utilizzando un hypervisor completo, anziché utilizzare tradizionali container che condividono il kernel Linux e sono isolate tramite namespace e cgroups. L'applicazione di macchine virtuali permette di raggiungere un livello di sicurezza superiore, proteggendo da attacchi derivanti dall'utilizzo di vulnerabilità nel kernel Linux.
Kata Containers è orientato all'integrazione nelle infrastrutture di isolamento dei contenitori esistenti, con la possibilità di utilizzare macchine virtuali simili per aumentare la protezione dei contenitori tradizionali. Il progetto fornisce meccanismi per garantire la compatibilità delle macchine virtuali leggere con varie infrastrutture di isolamento dei contenitori, piattaforme di orchestrazione dei contenitori e specifiche quali OCI (Open Container Initiative), CRI (Container Runtime Interface) e CNI (Container Networking Interface). Sono disponibili strumenti per l'integrazione con Docker, Kubernetes, QEMU e OpenStack.
L'integrazione con i sistemi di gestione dei contenitori avviene tramite uno strato che simula la gestione del contenitore, il quale accede all'agente di controllo nella macchina virtuale attraverso un'interfaccia gRPC e un proxy speciale. All'interno dell'ambiente virtuale, avviato dal hypervisor, viene utilizzato un kernel Linux appositamente ottimizzato, contenente solo un insieme minimo di funzionalità necessarie.
Come hypervisor è supportato l'uso di Dragonball Sandbox (edizione KVM, ottimizzata per i container) con gli strumenti QEMU, così come Firecracker e Cloud Hypervisor. L'ambiente di sistema include un demone di inizializzazione e un agente (Agent). L'agente garantisce l'esecuzione di immagini container specificate dall'utente in formato OCI per Docker e CRI per Kubernetes. Quando utilizzato insieme a Docker, viene creato un environment separato per ogni container la macchina virtuale, cioè l'ambiente eseguibile sopra il hypervisor è applicato per l'esecuzione nidificata dei container.
Per ridurre il consumo di memoria viene utilizzato il meccanismo DAX (accesso diretto al file system bypassando la cache delle pagine senza utilizzare il livello dei dispositivi a blocchi), e per la deduplicazione delle aree di memoria identiche viene applicata la tecnologia KSM (Kernel Samepage Merging), consentendo così la condivisione delle risorse del sistema host e la connessione a diversi sistemi ospiti tramite un modello comune dell'ambiente di sistema.
Nella nuova versione:
- Oltre al supporto per l'architettura AMD64 (x86_64), sono state rilasciate versioni per le architetture ARM64 (Aarch64) e s390 (IBM Z). È in fase di sviluppo il supporto per l'architettura ppc64le (IBM Power).
- Per gestire l'accesso alle immagini dei container, è stata impiegata la file system Nydus 2.2.0, che utilizza l'indirizzamento basato sul contenuto per collaborare in modo efficace con immagini standard. Nydus supporta il caricamento delle immagini al volo (caricando solo quando necessario), garantisce la deduplicazione dei dati ripetitivi e può utilizzare diversi backend per la memorizzazione effettiva. È prevista compatibilità con POSIX (analogamente a Composefs, l'implementazione di Nydus combina le capacità di OverlayFS con EROFS o un modulo FUSE).
- Nel core del progetto Kata Containers è stato integrato il gestore di macchine virtuali Dragonball, che ora sarà sviluppato all'interno del repository comune.
- È stata aggiunta una funzione di debug all'utility kata-ctl per connettersi alla macchina virtuale dall'ambiente host.
- Sono state ampliate le capacità di gestione della GPU ed è stato aggiunto il supporto per il passaggio della GPU ai container per il calcolo riservato (Confidential Container), che garantisce la crittografia dei dati, della memoria e dello stato di esecuzione per proteggere in caso di compromissione dell'ambiente host o del hypervisor.
- In Runtime-rs è stato aggiunto un sottosistema di gestione dei dispositivi utilizzati nei container o negli ambienti sandbox. È supportato il funzionamento con vfio, dispositivi a blocco, di rete e altri tipi di dispositivi.
- È garantita la compatibilità con OCI Runtime 1.0.2 e Kubernetes 1.23.1.
- Si consiglia di utilizzare la release del kernel Linux 6.1.38 con i patch.
- Lo sviluppo è stato spostato dal sistema di integrazione continua Jenkins a GitHub Actions.
Fonte: opennet.ru
