Rilis Kata Containers 3.0 kanthi isolasi berbasis virtualisasi

После двух лет разработки опубликован выпуск проекта Kata Containers 3.0, развивающего стек для организации выполнения контейнеров с использованием изоляции на базе полноценных механизмов виртуализации. Проект создан компаниями Intel и Hyper путём объединения технологий Clear Containers и runV. Код проекта написан на языках Go и Rust, и распространяется под лицензией Apache 2.0. Развитие проекта курирует рабочая группа, созданная под эгидой независимой организации OpenStack Foundation, в которой участвуют такие компании, как Canonical, China Mobile, Dell/EMC, EasyStack, Google, Huawei, NetApp, Red Hat, SUSE и ZTE.

Основу Kata составляет runtime, предоставляющий возможность создавать компактные виртуальные машины, выполняемые с использованием полноценного гипервизора, вместо применения традиционных контейнеров, использующих общее ядро Linux и изолированных при помощи пространств имён и cgroups. Применение виртуальных машин позволяет добиться более высокого уровня безопасности, защищающего от совершения атак, вызванных эксплуатацией уязвимостей в ядре Linux.

Kata Containers fokus ing integrasi menyang infrastruktur isolasi wadhah sing wis ana kanthi kemampuan nggunakake mesin virtual sing padha kanggo nambah proteksi wadhah tradisional. Proyèk kasebut nyedhiyakake mekanisme kanggo njamin kompatibilitas mesin virtual sing entheng karo macem-macem infrastruktur isolasi wadah, platform orkestrasi wadah lan spesifikasi kayata OCI (Open Container Initiative), CRI (Container Runtime Interface) lan CNI (Container Networking Interface). Piranti kasedhiya kanggo integrasi karo Docker, Kubernetes, QEMU lan OpenStack.

Integrasi karo sistem manajemen wadhah digayuh nggunakake lapisan sing simulates manajemen wadhah, sing ngakses agen ngatur ing mesin virtual liwat antarmuka gRPC lan proxy khusus. Ing lingkungan virtual, sing diluncurake dening hypervisor, kernel Linux sing dioptimalake khusus digunakake, mung ngemot minimal kapabilitas sing dibutuhake.

Minangka hypervisor a, ndhukung nggunakake Dragonball Sandbox (edition saka KVM optimized kanggo kontaner) karo toolkit QEMU, uga Firecracker lan Cloud Hypervisor. Lingkungan sistem kalebu daemon inisialisasi lan agen. Agen kasebut nyedhiyakake eksekusi gambar wadhah sing ditemtokake pangguna ing format OCI kanggo Docker lan CRI kanggo Kubernetes. Nalika digunakake bebarengan karo Docker, digawe mesin virtual kapisah kanggo saben wadhah, i.e. Lingkungan sing ana ing ndhuwur hypervisor digunakake kanggo ngluncurake wadah.

Kanggo nyuda konsumsi memori, mekanisme DAX digunakake (akses langsung menyang sistem file, ngliwati cache kaca tanpa nggunakake level piranti pamblokiran), lan kanggo deduplikat area memori sing padha, teknologi KSM (Kernel Samepage Merging) digunakake, sing ngidini sampeyan kanggo ngatur enggo bareng sumber daya sistem inang lan nyambung menyang sistem tamu beda nuduhake cithakan lingkungan sistem umum.

Ing versi anyar:

• Предложен альтернативный runtime (runtime-rs), формирующий начинку контейнеров, написанный на языке Rust (ранее поставляемый runtime написан на языке Go). Runtime совместим с OCI, CRI-O и Containerd, что позволяет использовать его с Docker и Kubernetes.
• Предложен новый гипервизор dragonball, основанный на KVM и rust-vmm.
• Добавлена поддержка проброса доступа к GPU, используя VFIO.
• Добавлена поддержка cgroup v2.
• Реализована поддержка подмены настроек без изменения основного файла конфигурации через замену блоков в отдельных файлах, размещаемых в каталоге «config.d/».
• В компонентах на языке Rust задействована новая библиотека для безопасной работы с файловыми путями.
• Компонент virtiofsd (написан на Си) заменён на virtiofsd-rs (написан на Rust).
• Добавлена поддержка sandbox-изоляции компонентов QEMU.
• В QEMU для асинхронного ввода/вывода задействован API io_uring.
• Для QEMU и Cloud-hypervisor реализована поддержка расширений Intel TDX (Trusted Domain Extensions).
• Обновлены компоненты: QEMU 6.2.0, Cloud-hypervisor 26.0, Firecracker 1.1.0, ядро Linux 5.19.2.

Source: opennet.ru