{"id":115219,"date":"2024-04-21T14:30:09","date_gmt":"2024-04-21T12:30:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-kata-containers-3-4-s-izolyacziej-na-osnove-virtualizaczii"},"modified":"2024-04-21T14:30:09","modified_gmt":"2024-04-21T12:30:09","slug":"vypusk-kata-containers-3-4-s-izolyacziej-na-osnove-virtualizaczii","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/vypusk-kata-containers-3-4-s-izolyacziej-na-osnove-virtualizaczii","title":{"rendered":"Uscita di Kata Containers 3.4 con isolamento basato su virtualizzazione","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\u00c8 stata pubblicata la versione 3.4 del progetto Kata Containers, che sviluppa una stack per l'esecuzione di container utilizzando l'isolamento basato su meccanismi di virtualizzazione completi. Il progetto \u00e8 stato creato dalle aziende Intel e Hyper attraverso la fusione delle tecnologie Clear Containers e runV. Il codice del progetto \u00e8 scritto nei linguaggi Go e Rust ed \u00e8 distribuito con licenza Apache 2.0. Lo sviluppo del progetto \u00e8 supervisionato da un gruppo di lavoro, istituito sotto l'egida dell'organizzazione indipendente OpenInfra Foundation, che include aziende come Canonical, China Mobile, Dell\/EMC, EasyStack, Google, Huawei, NetApp, Red Hat, SUSE e ZTE. <\/p>\n

Alla base di Kata c'\u00e8 un runtime che consente di creare macchine virtuali compatte, eseguite utilizzando un hypervisor completo, anzich\u00e9 utilizzare tradizionali container che condividono il kernel Linux e sono isolate tramite namespace e cgroups. L'applicazione di macchine virtuali<\/a> permette di raggiungere un livello di sicurezza superiore, proteggendo da attacchi derivanti dall'utilizzo di vulnerabilit\u00e0 nel kernel Linux. <\/p>\n

Kata Containers \u00e8 orientato all'integrazione nelle infrastrutture di isolamento dei contenitori esistenti, con la possibilit\u00e0 di utilizzare macchine virtuali simili per aumentare la protezione dei contenitori tradizionali. Il progetto fornisce meccanismi per garantire la compatibilit\u00e0 delle macchine virtuali leggere con varie infrastrutture di isolamento dei contenitori, piattaforme di orchestrazione dei contenitori e specifiche quali OCI (Open Container Initiative), CRI (Container Runtime Interface) e CNI (Container Networking Interface). Sono disponibili strumenti per l'integrazione con Docker, Kubernetes, QEMU e OpenStack. <\/p>\n

L'integrazione con i sistemi di gestione dei contenitori avviene tramite uno strato che simula la gestione del contenitore, il quale accede all'agente di controllo nella macchina virtuale attraverso un'interfaccia gRPC e un proxy speciale. All'interno dell'ambiente virtuale, avviato dal hypervisor, viene utilizzato un kernel Linux appositamente ottimizzato, contenente solo un insieme minimo di funzionalit\u00e0 necessarie. <\/p>\n

Come hypervisor \u00e8 supportato l'uso di Dragonball Sandbox (edizione KVM, ottimizzata per i container) con gli strumenti QEMU, cos\u00ec come Firecracker e Cloud Hypervisor. L'ambiente di sistema include un demone di inizializzazione e un agente (Agent). L'agente garantisce l'esecuzione di immagini container specificate dall'utente in formato OCI per Docker e CRI per Kubernetes. Quando utilizzato insieme a Docker, viene creato un environment separato per ogni container la macchina virtuale<\/a>, cio\u00e8 l'ambiente eseguibile sopra il hypervisor \u00e8 applicato per l'esecuzione nidificata dei container. <\/p>\n

\"Uscita<\/center> <\/p>\n

Per ridurre il consumo di memoria viene utilizzato il meccanismo DAX (accesso diretto al file system bypassando la cache delle pagine senza utilizzare il livello dei dispositivi a blocchi), e per la deduplicazione delle aree di memoria identiche viene applicata la tecnologia KSM (Kernel Samepage Merging), consentendo cos\u00ec la condivisione delle risorse del sistema host e la connessione a diversi sistemi ospiti tramite un modello comune dell'ambiente di sistema. <\/p>\n

Per facilitare l'accesso alle immagini dei container, \u00e8 stata utilizzata la file system Nydus, che implementa l'indirizzamento basato sul contenuto per una cooperazione efficace con immagini standard. Nydus supporta il caricamento delle immagini al volo (caricando solo quando necessario), garantisce la deduplicazione dei dati ripetuti e pu\u00f2 utilizzare diversi backend per l'archiviazione effettiva. \u00c8 fornita la compatibilit\u00e0 con POSIX (analogamente a Composefs, l'implementazione di Nydus combina le capacit\u00e0 di OverlayFS con EROFS o un modulo FUSE). <\/p>\n

Nella nuova versione: <\/p>\n