Microsoft heeft het Hyperlight-project geïntroduceerd, dat een hypervisor ontwikkelt die is bedoeld voor integratie in applicaties voor het geïsoleerd uitvoeren van niet-betrouwbare code of code die speciale bescherming vereist. De hypervisor is vormgegeven als een gedeelde bibliotheek die de uitvoering van specifieke functies in lichtgewicht virtuele machines (micro-VM) mogelijk maakt en de gegevensuitwisseling met deze functies organiseert. De code van het project is geschreven in de programmeertaal Rust en wordt verspreid onder de Apache 2.0-licentie.
Vergeleken met het opstarten van traditionele virtuele machines Hyperlight maakt lage latenties en minimale overhead mogelijk. In Hyperlight bedragen de latenties bij het creëren van virtuele machines 1-2 milliseconden, waardoor isolatie op het niveau van functioneel opstarten mogelijk is. Ter vergelijking, de opstarttijd voor een gewone virtuele machine is minimaal 120 milliseconden, terwijl de opstarttijd voor een geïsoleerde sandbox-omgeving voor het uitvoeren van WebAssembly-code met behulp van de Wasmtime-runtime 0,03 milliseconden bedraagt.
Voor isolatie op het Linux-platform wordt ondersteuning geboden voor de hypervisors KVM en mshv (Microsoft Hypervisor in Azure Linux), en op het Windows-platform voor WHP (Windows Hypervisor Platform) en WSL2 (Windows Subsystem for Linux 2) met KVM. Het macOS-platform wordt momenteel niet ondersteund. Een apart kernel en besturingssysteem in een virtuele machine worden niet gebruikt. De hardware voor de virtuele machine wordt gevormd in de vorm van een zelfstandige opstartbare toepassing, die de code van de uit te voeren functie bevat, omgeven door runtime en een gespecialiseerde minimale kernel. In de virtuele machine wordt een enkele lineaire geheugenfragment gebruikt en wordt een virtuele CPU toegewezen, zonder apparaatmapping en zonder procesverdeling.
Het ontwikkelingsproces is gebaseerd op het koppelen van de hoofdcode van de applicatie aan de Hyperlight Host-bibliotheek, die de opstart van virtuele machines coördineert, en de code van de uit te voeren functies in geïsoleerde modus (gastenfuncties) aan de Hyperlight Guest-bibliotheek, die een API biedt voor interactie met de externe kant van de applicatie en mogelijkheden voor het gescheiden uitvoeren van code zonder de omgeving van het besturingssysteem.
De aangeboden laag voor interactie tussen de hosttoepassing en de geïsoleerde functies maakt het niet alleen mogelijk om geïsoleerde functies vanuit hosttoepassingen aan te roepen, maar ook omgekeerd, toegang te krijgen tot de functies van hosttoepassingen vanuit geïsoleerde functies. De lijst met externe functies die toegankelijk zijn voor oproep vanuit geïsoleerde functies is strikt gereguleerd. Toegang vanuit geïsoleerde functies is standaard beperkt tot een minimaal API, waarmee berichten naar de hosttoepassing kunnen worden verzonden.
In de toekomst is Microsoft van plan het project over te dragen aan de non-profitorganisatie Cloud Native Computing Foundation (CNCF) voor gezamenlijke ontwikkeling op een neutraal platform, onafhankelijk van specifieke leveranciers. De CNCF organisatie opereert onder de Linux Foundation en begeleidt de ontwikkeling van projecten zoals Kubernetes, etcd, Cilium, Containerd, cri-o, Flux, Helm, Istio en gRPC.
Bron: opennet.ru
