{"id":115219,"date":"2024-04-21T14:30:09","date_gmt":"2024-04-21T12:30:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-kata-containers-3-4-s-izolyacziej-na-osnove-virtualizaczii"},"modified":"2024-04-21T14:30:09","modified_gmt":"2024-04-21T12:30:09","slug":"vypusk-kata-containers-3-4-s-izolyacziej-na-osnove-virtualizaczii","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/vypusk-kata-containers-3-4-s-izolyacziej-na-osnove-virtualizaczii","title":{"rendered":"Rilascio di Kata Containers 3.4 con isolamento basato su virtualizzazione","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\u00c8 stato pubblicato il rilascio del progetto Kata Containers 3.4, che sviluppa un stack per la gestione dell'esecuzione dei contenitori utilizzando isolamento basato su meccanismi di virtualizzazione completi. Il progetto \u00e8 stato creato dalle aziende Intel e Hyper attraverso la fusione delle tecnologie Clear Containers e runV. Il codice del progetto \u00e8 scritto in linguaggi Go e Rust e viene distribuito con licenza Apache 2.0. Lo sviluppo del progetto \u00e8 supervisionato da un gruppo di lavoro creato sotto l'egida dell'organizzazione indipendente OpenInfra Foundation, che comprende aziende come Canonical, China Mobile, Dell\/EMC, EasyStack, Google, Huawei, NetApp, Red Hat, SUSE e ZTE. <\/p>\n

La base di Kata \u00e8 un runtime che consente di creare macchine virtuali compatte, eseguite usando un hypervisor completo, anzich\u00e9 utilizzare contenitori tradizionali, che impiegano un kernel Linux condiviso e sono isolate tramite spazi dei nomi e cgroups. L'uso macchine virtuali<\/a> permette di raggiungere un livello di sicurezza pi\u00f9 elevato, proteggendo da attacchi causati dall'exploitation di vulnerabilit\u00e0 nel kernel Linux. <\/p>\n

Kata Containers \u00e8 progettato per l'integrazione nelle infrastrutture esistenti di isolamento dei contenitori con la possibilit\u00e0 di utilizzare tali macchine virtuali per migliorare la protezione dei contenitori tradizionali. Il progetto fornisce meccanismi per garantire la compatibilit\u00e0 delle macchine virtuali leggere con diverse infrastrutture di isolamento dei contenitori, piattaforme di orchestrazione dei contenitori e specifiche come OCI (Open Container Initiative), CRI (Container Runtime Interface) e CNI (Container Networking Interface). Sono disponibili strumenti per l'integrazione con Docker, Kubernetes, QEMU e OpenStack. <\/p>\n

L'integrazione con i sistemi di gestione dei contenitori viene raggiunta tramite un livello che simula la gestione del contenitore, il quale, attraverso un'interfaccia gRPC e un proxy speciale, si rivolge all'agente di controllo nella macchina virtuale. All'interno dell'ambiente virtuale, avviato dall'hypervisor, viene utilizzato un kernel Linux appositamente ottimizzato, contenente solo il set minimo di funzionalit\u00e0 necessarie. <\/p>\n

Come hypervisor, \u00e8 supportato l'uso di Dragonball Sandbox (edizione KVM, ottimizzata per i container) con l'insieme di strumenti QEMU, oltre a Firecracker e Cloud Hypervisor. L'ambiente di sistema include un demone di inizializzazione e un agente (Agent). L'agente consente l'esecuzione di immagini di container fornite dall'utente in formato OCI per Docker e CRI per Kubernetes. Quando viene utilizzato insieme a Docker, per ogni container viene creata una macchina virtuale<\/a>, cio\u00e8 l'ambiente avviato sopra l'iperparte viene utilizzato per l'avvio nidificato dei container. <\/p>\n

\"Rilascio<\/center> <\/p>\n

Per ridurre il consumo di memoria viene applicato il meccanismo DAX (accesso diretto al file system bypassando la cache delle pagine senza utilizzare il livello dei dispositivi a blocchi), e per la deduplicazione delle aree di memoria identiche viene utilizzata la tecnologia KSM (Kernel Samepage Merging), che consente di organizzare la condivisione delle risorse del sistema host e di collegare a diversi sistemi guest un modello comune di ambiente di sistema. <\/p>\n

Per organizzare l'accesso alle immagini dei container \u00e8 stata coinvolta la file system Nydus, che utilizza l'indirizzamento per contenuto per un'efficace cooperazione con immagini di tipo standard. Nydus supporta il caricamento a caldo delle immagini (caricandole solo quando necessario), offre deduplicazione dei dati ripetuti e pu\u00f2 utilizzare diversi backend per l'archiviazione effettiva. \u00c8 fornita compatibilit\u00e0 con POSIX (simile a Composefs, l'implementazione di Nydus combina le capacit\u00e0 di OverlayFS con EROFS o modulo FUSE). <\/p>\n

Nella nuova versione: <\/p>\n