Famoahana ny Kata Containers 3.2 miaraka amin'ny fitokanana mifototra amin'ny virtoaly

Опубликован выпуск проекта Kata Containers 3.2, развивающего стек для организации выполнения контейнеров с использованием изоляции на базе полноценных механизмов виртуализации. Проект создан компаниями Intel и Hyper путём объединения технологий Clear Containers и runV. Код проекта написан на языках Go и Rust, и распространяется под лицензией Apache 2.0. Развитие проекта курирует рабочая группа, созданная под эгидой независимой организации OpenStack Foundation, в которой участвуют такие компании, как Canonical, China Mobile, Dell/EMC, EasyStack, Google, Huawei, NetApp, Red Hat, SUSE и ZTE.

Основу Kata составляет runtime, позволяющий создавать компактные виртуальные машины, выполняемые с использованием полноценного гипервизора, вместо применения традиционных контейнеров, использующих общее ядро Linux и изолированных при помощи пространств имён и cgroups. Применение виртуальных машин позволяет добиться более высокого уровня безопасности, защищающего от совершения атак, вызванных эксплуатацией уязвимостей в ядре Linux.

Ny Kata Containers dia mifantoka amin'ny fampidirana ireo fotodrafitrasa fitokanana kaontenera efa misy miaraka amin'ny fahafahana mampiasa milina virtoaly mitovy amin'izany mba hanatsarana ny fiarovana ny kaontenera nentim-paharazana. Ny tetikasa dia manome mekanika hiantohana ny fampifanarahana ny milina virtoaly maivana miaraka amin'ny rafitra fitokanana kaontenera isan-karazany, sehatra orkestra kaontenera ary ny fepetra manokana toy ny OCI (Open Container Initiative), CRI (Container Runtime Interface) ary CNI (Container Networking Interface). Misy fitaovana azo ampidirina amin'ny Docker, Kubernetes, QEMU ary OpenStack.

Ny fampifangaroana amin'ny rafitra fitantanana kaontenera dia tratra amin'ny alàlan'ny sosona iray izay mampitovy ny fitantanana ny kaontenera, izay miditra amin'ny mpiandraikitra mpitantana ao amin'ny milina virtoaly amin'ny alàlan'ny interface gRPC sy proxy manokana. Ao anatin'ny tontolo virtoaly, izay navoakan'ny hypervisor, dia ampiasaina ny kernel Linux namboarina manokana, izay tsy misy afa-tsy ny fahaiza-manao ilaina indrindra.

Amin'ny maha hypervisor azy dia manohana ny fampiasana Dragonball Sandbox (fanontana KVM namboarina ho an'ny kaontenera) miaraka amin'ny fitaovana QEMU, ary koa Firecracker sy Cloud Hypervisor. Ny tontolon'ny rafitra dia misy daemon fanombohana sy mpandraharaha iray. Ny mpandraharaha dia manome ny famonoana ireo sary fitoeran-javatra voafaritry ny mpampiasa amin'ny endrika OCI ho an'ny Docker sy CRI ho an'ny Kubernetes. Rehefa ampiasaina miaraka amin'ny Docker, dia misy milina virtoaly mitokana ho an'ny kaontenera tsirairay, i.e. Ny tontolo iainana mihazakazaka eo an-tampon'ny hypervisor dia ampiasaina amin'ny fandefasana ny kaontenera.

Mba hampihenana ny fanjifàna fahatsiarovana dia ampiasaina ny mekanika DAX (fidirana mivantana amin'ny rafitra fichier, mandalo ny cache pejy tsy mampiasa ny haavon'ny fitaovana fanakanana), ary ny fanafoanana ny faritra fitadidiana mitovy dia ampiasaina ny teknolojia KSM (Kernel Samepage Merging), izay mamela anao. mba handaminana ny fizarana loharanon-karenan'ny rafitra mpampiantrano ary mifandray amin'ireo rafitra vahiny samihafa mizara modely tontolo iainana iraisana.

Ao amin'ny dikan-teny vaovao:

• Помимо поддержки архитектуры AMD64 (x86_64) обеспечено формирование релизов для архитектур ARM64 (Aarch64) и s390 (IBM Z). В разработке находится поддержка архитектуры ppc64le (IBM Power).
• Для организации доступа к образам контейнеров задействована файловая система Nydus 2.2.0, в которой используется адресация по содержимому для эффективной совместной работы с типовыми образами. Nydus поддерживает загрузку образов на лету (загружает только при возникновении необходимости), обеспечивает дедупликацию повторяющихся данных и может использовать разные бэкенды для фактического хранения. Предоставляется совместимость с POSIX (по аналогии с Composefs, реализация Nydus совмещает возможности OverlayFS c EROFS или FUSE-модулем).
• В основной состав проекта Kata Containers интегрирован менеджер виртуальных машин Dragonball, который теперь будет развиваться в общем репозитории.
• В утилиту kata-ctl добавлена отладочная функция для подключения к виртуальной машине из хост-окружения.
• Расширены возможности по управлению GPU и добавлена поддержка проброса GPU в контейнеры для конфиденциальных вычислений (Confidential Container), в который обеспечивается шифрование данных, памяти и состояния выполнения для защиты в случае компрометации хост-окружения или гипервизора.
• В Runtime-rs добавлена подсистема управления устройствами, используемыми в контейнерах или sandbox-окружениях. Поддерживается работа с vfio, блочными, сетевыми и другими типами устройств.
• Обеспечена совместимость с OCI Runtime 1.0.2 и Kubernetes 1.23.1.
• В качестве ядра Linux рекомендовано использовать выпуск 6.1.38 с патчами.
• Разработка переведена с использования системы непрерывной интеграции Jenkins на GitHub Actions.

Source: opennet.ru