Dimittis de Kata Containers 3.0 cum virtualisation-fundatur solitudo

После двух лет разработки опубликован выпуск проекта Kata Containers 3.0, развивающего стек для организации выполнения контейнеров с использованием изоляции на базе полноценных механизмов виртуализации. Проект создан компаниями Intel и Hyper путём объединения технологий Clear Containers и runV. Код проекта написан на языках Go и Rust, и распространяется под лицензией Apache 2.0. Развитие проекта курирует рабочая группа, созданная под эгидой независимой организации OpenStack Foundation, в которой участвуют такие компании, как Canonical, China Mobile, Dell/EMC, EasyStack, Google, Huawei, NetApp, Red Hat, SUSE и ZTE.

Основу Kata составляет runtime, предоставляющий возможность создавать компактные виртуальные машины, выполняемые с использованием полноценного гипервизора, вместо применения традиционных контейнеров, использующих общее ядро Linux и изолированных при помощи пространств имён и cgroups. Применение виртуальных машин позволяет добиться более высокого уровня безопасности, защищающего от совершения атак, вызванных эксплуатацией уязвимостей в ядре Linux.

Kata Vasa integratio in exsistens continens infrastructuras solitarii posita est cum facultate uti similibus machinis virtualis ad tutelam continentium traditorum augendam. Exertum mechanismos praebet ad compatibilitatem levium machinarum virtualium curandorum cum variis substructionibus continentis segregationis, orchestrationis continens suggestorum et specificationum sicut OCI (Container Initiativum Open), CRI (Continens Runtime Interface) et CNI (Continens Networking interface). Instrumenta praesto sunt ad integrationem cum Docker, Kubernetes, QEMU et OpenStack.

Integratio cum systemata continenti administratio fit utens iacuit qui administrationem continens simulat, quae in machinatione virtuali agentis accedit, per interfaciem grRPC et procuratorem specialem. Intra ambitum virtualem, quae ab hypervisore immittitur, peculiariter optimized nucleus Linux adhibetur, continens solum minimas facultates necessarias.

Ut hypervisor, usum Dragonball Sandbox (editio KVM pro vasis optimized) sustinet cum toolkit QEMU, necnon Firecracker et Cloud Hypervisoris. Ambitus systematis initializationem daemonis et agentis includit. Procurator executionem praebet imagines receptae usuarii definitae in forma OCI pro Docker et CRI pro Kubernetes. Cum in coniunctione cum Docker, apparatus virtualis separatus pro unoquoque continente creatur, i.e. Ambitus cursus super hypervisoris ponitur pro vasis arteriis nidos.

Ad memoriam consummationis reducendam, mechanismus DAX adhibetur (directus accessus ad systematis fasciculi, praetermittens paginam cache sine gradu machinis obstructionum utens), et identidem areas memoriae deduplicare, KSM (Kernel Samepage Merging) technologia adhibita est, quae te permittit. ad ordinare communicationem opum exercitus systematis et coniungere ad diversas rationes hospites communis systema environment templates.

In nova versione:

• Предложен альтернативный runtime (runtime-rs), формирующий начинку контейнеров, написанный на языке Rust (ранее поставляемый runtime написан на языке Go). Runtime совместим с OCI, CRI-O и Containerd, что позволяет использовать его с Docker и Kubernetes.
• Предложен новый гипервизор dragonball, основанный на KVM и rust-vmm.
• Добавлена поддержка проброса доступа к GPU, используя VFIO.
• Добавлена поддержка cgroup v2.
• Реализована поддержка подмены настроек без изменения основного файла конфигурации через замену блоков в отдельных файлах, размещаемых в каталоге «config.d/».
• В компонентах на языке Rust задействована новая библиотека для безопасной работы с файловыми путями.
• Компонент virtiofsd (написан на Си) заменён на virtiofsd-rs (написан на Rust).
• Добавлена поддержка sandbox-изоляции компонентов QEMU.
• В QEMU для асинхронного ввода/вывода задействован API io_uring.
• Для QEMU и Cloud-hypervisor реализована поддержка расширений Intel TDX (Trusted Domain Extensions).
• Обновлены компоненты: QEMU 6.2.0, Cloud-hypervisor 26.0, Firecracker 1.1.0, ядро Linux 5.19.2.

Source: opennet.ru