🥇კატა კონტეინერების მოკლე მიმოხილვა და დაყენება

ეს სტატია განიხილავს როგორ მუშაობს კატა კონტეინერები, და ასევე იქნება პრაქტიკული ნაწილი მათი Docker-თან დაკავშირებასთან დაკავშირებით.

Docker-ის საერთო პრობლემებისა და მათი გადაჭრის შესახებ უკვე დაწერილი იყო, დღეს მოკლედ აღვწერ Kata Containers-დან განხორციელებას. Kata Containers არის უსაფრთხო კონტეინერის მუშაობის დრო, რომელიც დაფუძნებულია მსუბუქ ვირტუალურ მანქანებზე. მათთან მუშაობა იგივეა, რაც სხვა კონტეინერებთან, მაგრამ გარდა ამისა, არსებობს უფრო საიმედო იზოლაცია ტექნიკის ვირტუალიზაციის ტექნოლოგიის გამოყენებით. პროექტი დაიწყო 2017 წელს, როდესაც ამავე სახელწოდების საზოგადოებამ დაასრულა Intel Clear Containers-ისა და Hyper.sh RunV-ის საუკეთესო იდეების შერწყმა, რის შემდეგაც გაგრძელდა მუშაობა სხვადასხვა არქიტექტურის მხარდაჭერაზე, მათ შორის AMD64, ARM, IBM p- და z. - სერია. გარდა ამისა, მუშაობა მხარდაჭერილია ჰიპერვიზორების შიგნით QEMU, Firecracker და ასევე არის ინტეგრაცია კონტეინერთან. კოდი ხელმისაწვდომია მისამართზე GitHub MIT ლიცენზიით.

ძირითადი მახასიათებლები

ცალკე ბირთვთან მუშაობისას, რაც უზრუნველყოფს ქსელის, მეხსიერების და I/O იზოლაციას, შესაძლებელია ვირტუალიზაციის გაფართოებების საფუძველზე ტექნიკის იზოლაციის იძულება გამოყენება.
ინდუსტრიის სტანდარტების მხარდაჭერა, მათ შორის OCI (კონტეინერის ფორმატი), Kubernetes CRI
რეგულარული Linux კონტეინერების თანმიმდევრული შესრულება, გაზრდილი იზოლაცია ჩვეულებრივი VM-ების შესრულების გარეშე
აღმოფხვრა კონტეინერების გაშვების აუცილებლობა სრულფასოვანი ვირტუალური მანქანების შიგნით, ზოგადი ინტერფეისები ამარტივებს ინტეგრაციას და გაშვებას

დაყენების

არსებობს ბევრი ინსტალაციის ვარიანტები, განვიხილავ ინსტალაციას საცავებიდან, Centos 7 ოპერაციული სისტემის საფუძველზე.
მნიშვნელოვანია: Kata Containers მუშაობა მხარდაჭერილია მხოლოდ აპარატურაზე, ვირტუალიზაციის გადამისამართება ყოველთვის არ მუშაობს სჭირდება sse4.1 მხარდაჭერა პროცესორიდან.

Kata კონტეინერების დაყენება საკმაოდ მარტივია:

დააინსტალირეთ კომუნალური პროგრამები საცავებთან მუშაობისთვის:

# yum -y install yum-utils

გამორთეთ Selinux (უფრო სწორია კონფიგურაცია, მაგრამ სიმარტივისთვის მე გამოვრთე):

# setenforce 0
# sed -i 's/^SELINUX=enforcing$/SELINUX=permissive/' /etc/selinux/config

ჩვენ ვაკავშირებთ საცავს და ვასრულებთ ინსტალაციას

# source /etc/os-release
# ARCH=$(arch)
# BRANCH="${BRANCH:-stable-1.10}"
# yum-config-manager --add-repo "http://download.opensuse.org/repositories/home:/katacontainers:/releases:/${ARCH}:/${BRANCH}/CentOS_${VERSION_ID}/home:katacontainers:releases:${ARCH}:${BRANCH}.repo"
# yum -y install kata-runtime kata-proxy kata-shim

რეგულირება

მე დავაყენებ დოკერთან მუშაობას, მისი ინსტალაცია ტიპიურია, უფრო დეტალურად არ აღვწერ:

# rpm -qa | grep docker
docker-ce-cli-19.03.6-3.el7.x86_64
docker-ce-19.03.6-3.el7.x86_64
# docker -v
Docker version 19.03.6, build 369ce74a3c

ჩვენ ვაკეთებთ ცვლილებებს daemon.json-ში:

# cat <<EOF > /etc/docker/daemon.json
{
  "default-runtime": "kata-runtime",
  "runtimes": {
    "kata-runtime": {
      "path": "/usr/bin/kata-runtime"
    }
  }
}
EOF

დოკერის გადატვირთვა:

# service docker restart

ფუნქციური ტესტირება

თუ კონტეინერს დაიწყებთ დოკერის გადატვირთვამდე, ხედავთ, რომ uname მისცემს ბირთვის ვერსიას, რომელიც მუშაობს მთავარ სისტემაზე:

# docker run busybox uname -a
Linux 19efd7188d06 3.10.0-1062.12.1.el7.x86_64 #1 SMP Tue Feb 4 23:02:59 UTC 2020 x86_64 GNU/Linux

გადატვირთვის შემდეგ, ბირთვის ვერსია ასე გამოიყურება:

# docker run busybox uname -a
Linux 9dd1f30fe9d4 4.19.86-5.container #1 SMP Sat Feb 22 01:53:14 UTC 2020 x86_64 GNU/Linux

მეტი გუნდი!

# time docker run busybox mount
kataShared on / type 9p (rw,dirsync,nodev,relatime,mmap,access=client,trans=virtio)
proc on /proc type proc (rw,nosuid,nodev,noexec,relatime)
tmpfs on /dev type tmpfs (rw,nosuid,size=65536k,mode=755)
devpts on /dev/pts type devpts (rw,nosuid,noexec,relatime,gid=5,mode=620,ptmxmode=666)
sysfs on /sys type sysfs (ro,nosuid,nodev,noexec,relatime)
tmpfs on /sys/fs/cgroup type tmpfs (ro,nosuid,nodev,noexec,relatime,mode=755)
cgroup on /sys/fs/cgroup/systemd type cgroup (ro,nosuid,nodev,noexec,relatime,xattr,name=systemd)
cgroup on /sys/fs/cgroup/cpu,cpuacct type cgroup (ro,nosuid,nodev,noexec,relatime,cpu,cpuacct)
cgroup on /sys/fs/cgroup/blkio type cgroup (ro,nosuid,nodev,noexec,relatime,blkio)
cgroup on /sys/fs/cgroup/memory type cgroup (ro,nosuid,nodev,noexec,relatime,memory)
cgroup on /sys/fs/cgroup/devices type cgroup (ro,nosuid,nodev,noexec,relatime,devices)
cgroup on /sys/fs/cgroup/perf_event type cgroup (ro,nosuid,nodev,noexec,relatime,perf_event)
cgroup on /sys/fs/cgroup/net_cls,net_prio type cgroup (ro,nosuid,nodev,noexec,relatime,net_cls,net_prio)
cgroup on /sys/fs/cgroup/freezer type cgroup (ro,nosuid,nodev,noexec,relatime,freezer)
cgroup on /sys/fs/cgroup/pids type cgroup (ro,nosuid,nodev,noexec,relatime,pids)
cgroup on /sys/fs/cgroup/cpuset type cgroup (ro,nosuid,nodev,noexec,relatime,cpuset)
mqueue on /dev/mqueue type mqueue (rw,nosuid,nodev,noexec,relatime)
shm on /dev/shm type tmpfs (rw,nosuid,nodev,noexec,relatime,size=65536k)
kataShared on /etc/resolv.conf type 9p (rw,dirsync,nodev,relatime,mmap,access=client,trans=virtio)
kataShared on /etc/hostname type 9p (rw,dirsync,nodev,relatime,mmap,access=client,trans=virtio)
kataShared on /etc/hosts type 9p (rw,dirsync,nodev,relatime,mmap,access=client,trans=virtio)
proc on /proc/bus type proc (ro,relatime)
proc on /proc/fs type proc (ro,relatime)
proc on /proc/irq type proc (ro,relatime)
proc on /proc/sys type proc (ro,relatime)
tmpfs on /proc/acpi type tmpfs (ro,relatime)
tmpfs on /proc/timer_list type tmpfs (rw,nosuid,size=65536k,mode=755)
tmpfs on /sys/firmware type tmpfs (ro,relatime)

real    0m2.381s
user    0m0.066s
sys 0m0.039s

# time docker run busybox free -m
              total        used        free      shared  buff/cache   available
Mem:           1993          30        1962           0           1        1946
Swap:             0           0           0

real    0m3.297s
user    0m0.086s
sys 0m0.050s

სწრაფი დატვირთვის ტესტირება

ვირტუალიზაციის შედეგად მიღებული ზარალის შესაფასებლად - მთავარ მაგალითებად ვატარებ sysbench-ს მიიღეთ ეს ვარიანტი.

გაშვებული sysbench გამოყენებით Docker+containerd

პროცესორის ტესტი

sysbench 1.0:  multi-threaded system evaluation benchmark

Running the test with following options:
Number of threads: 1
Initializing random number generator from current time

Prime numbers limit: 20000

Initializing worker threads...

Threads started!

General statistics:
    total time:                          36.7335s
    total number of events:              10000
    total time taken by event execution: 36.7173s
    response time:
         min:                                  3.43ms
         avg:                                  3.67ms
         max:                                  8.34ms
         approx.  95 percentile:               3.79ms

Threads fairness:
    events (avg/stddev):           10000.0000/0.00
    execution time (avg/stddev):   36.7173/0.00

RAM ტესტი

sysbench 1.0:  multi-threaded system evaluation benchmark

Running the test with following options:
Number of threads: 1
Initializing random number generator from current time

Initializing worker threads...

Threads started!

Operations performed: 104857600 (2172673.64 ops/sec)

102400.00 MiB transferred (2121.75 MiB/sec)

General statistics:
    total time:                          48.2620s
    total number of events:              104857600
    total time taken by event execution: 17.4161s
    response time:
         min:                                  0.00ms
         avg:                                  0.00ms
         max:                                  0.17ms
         approx.  95 percentile:               0.00ms

Threads fairness:
    events (avg/stddev):           104857600.0000/0.00
    execution time (avg/stddev):   17.4161/0.00

Sysbench-ის გაშვება Docker+Kata კონტეინერების გამოყენებით

პროცესორის ტესტი

sysbench 1.0:  multi-threaded system evaluation benchmark

Running the test with following options:
Number of threads: 1
Initializing random number generator from current time

Prime numbers limit: 20000

Initializing worker threads...

Threads started!

General statistics:
    total time:                          36.5747s
    total number of events:              10000
    total time taken by event execution: 36.5594s
    response time:
         min:                                  3.43ms
         avg:                                  3.66ms
         max:                                  4.93ms
         approx.  95 percentile:               3.77ms

Threads fairness:
    events (avg/stddev):           10000.0000/0.00
    execution time (avg/stddev):   36.5594/0.00

RAM ტესტი

sysbench 1.0:  multi-threaded system evaluation benchmark

Running the test with following options:
Number of threads: 1
Initializing random number generator from current time

Initializing worker threads...

Threads started!

Operations performed: 104857600 (2450366.94 ops/sec)

102400.00 MiB transferred (2392.94 MiB/sec)

General statistics:
    total time:                          42.7926s
    total number of events:              104857600
    total time taken by event execution: 16.1512s
    response time:
         min:                                  0.00ms
         avg:                                  0.00ms
         max:                                  0.43ms
         approx.  95 percentile:               0.00ms

Threads fairness:
    events (avg/stddev):           104857600.0000/0.00
    execution time (avg/stddev):   16.1512/0.00

პრინციპში, სიტუაცია უკვე გასაგებია, მაგრამ უფრო ოპტიმალურია ტესტების რამდენჯერმე გაშვება, ამოღებული ხაზების ამოღება და შედეგების საშუალოდ მიღება, ამიტომ მეტ ტესტს ჯერ არ ვაკეთებ.

დასკვნები

იმისდა მიუხედავად, რომ ასეთი კონტეინერების გაშვებას დაახლოებით ხუთ-ათჯერ მეტი დრო სჭირდება (მსგავსი ბრძანებების გაშვების ტიპიური დრო კონტეინერის გამოყენებისას წამის მესამედზე ნაკლებია), ისინი მაინც საკმაოდ სწრაფად მუშაობენ, თუ ავიღებთ დაწყების აბსოლუტურ დროს (იქ ზემოთ მოყვანილი მაგალითებია, ბრძანებები შესრულებულია საშუალოდ სამ წამში). CPU-სა და RAM-ის სწრაფი ტესტის შედეგები აჩვენებს თითქმის ერთსა და იმავე შედეგებს, რაც არ შეიძლება არ გაახაროს, განსაკუთრებით იმის გათვალისწინებით, რომ იზოლაცია უზრუნველყოფილია ისეთი კარგად გაშვებული მექანიზმის გამოყენებით, როგორიცაა kvm.

ანონსი

სტატია არის მიმოხილვა, მაგრამ ის გაძლევთ შესაძლებლობას იგრძნოთ მუშაობის ალტერნატიული დრო. აპლიკაციის მრავალი სფერო არ არის დაფარული, მაგალითად, საიტი აღწერს Kubernetes-ის გაშვების შესაძლებლობას Kata Containers-ის თავზე. გარდა ამისა, თქვენ ასევე შეგიძლიათ ჩაატაროთ ტესტების სერია, რომელიც ორიენტირებულია უსაფრთხოების პრობლემების პოვნაზე, შეზღუდვების დაყენებაზე და სხვა საინტერესო საკითხებზე.

ვთხოვ ყველას, ვინც აქ წაიკითხა და გადაატრიალა, მიიღოს მონაწილეობა გამოკითხვაში, რაზეც იქნება დამოკიდებული მომავალი პუბლიკაციები ამ თემაზე.

გამოკითხვაში მონაწილეობა შეუძლიათ მხოლოდ დარეგისტრირებულ მომხმარებლებს. Შებრძანდითგთხოვთ