Utgivelse av Kata Containers 3.0 med virtualiseringsbasert isolasjon

После двух лет разработки опубликован выпуск проекта Kata Containers 3.0, развивающего стек для организации выполнения контейнеров с использованием изоляции на базе полноценных механизмов виртуализации. Проект создан компаниями Intel и Hyper путём объединения технологий Clear Containers и runV. Код проекта написан на языках Go и Rust, и распространяется под лицензией Apache 2.0. Развитие проекта курирует рабочая группа, созданная под эгидой независимой организации OpenStack Foundation, в которой участвуют такие компании, как Canonical, China Mobile, Dell/EMC, EasyStack, Google, Huawei, NetApp, Red Hat, SUSE и ZTE.

Основу Kata составляет runtime, предоставляющий возможность создавать компактные виртуальные машины, выполняемые с использованием полноценного гипервизора, вместо применения традиционных контейнеров, использующих общее ядро Linux и изолированных при помощи пространств имён и cgroups. Применение виртуальных машин позволяет добиться более высокого уровня безопасности, защищающего от совершения атак, вызванных эксплуатацией уязвимостей в ядре Linux.

Kata Containers er fokusert på integrering i eksisterende containerisolasjonsinfrastrukturer med muligheten til å bruke lignende virtuelle maskiner for å forbedre beskyttelsen av tradisjonelle containere. Prosjektet gir mekanismer for å sikre kompatibilitet av lette virtuelle maskiner med ulike containerisolasjonsinfrastrukturer, containerorkestreringsplattformer og spesifikasjoner som OCI (Open Container Initiative), CRI (Container Runtime Interface) og CNI (Container Networking Interface). Verktøy er tilgjengelige for integrasjon med Docker, Kubernetes, QEMU og OpenStack.

Integrasjon med containeradministrasjonssystemer oppnås ved hjelp av et lag som simulerer containeradministrasjon, som får tilgang til den administrerende agenten i den virtuelle maskinen gjennom gRPC-grensesnittet og en spesiell proxy. Inne i det virtuelle miljøet, som lanseres av hypervisoren, brukes en spesielt optimert Linux-kjerne, som kun inneholder det minste settet med nødvendige evner.

Som hypervisor støtter den bruken av Dragonball Sandbox (en utgave av KVM optimalisert for containere) med QEMU-verktøysettet, samt Firecracker og Cloud Hypervisor. Systemmiljøet inkluderer en initialiseringsdemon og en agent. Agenten gir kjøring av brukerdefinerte containerbilder i OCI-format for Docker og CRI for Kubernetes. Når den brukes sammen med Docker, opprettes en separat virtuell maskin for hver container, dvs. Miljøet som kjører på toppen av hypervisoren brukes til nestet lansering av containere.

For å redusere minneforbruket brukes DAX-mekanismen (direkte tilgang til filsystemet, omgå sidebufferen uten å bruke blokkenhetsnivået), og for å deduplisere identiske minneområder brukes KSM (Kernel Samepage Merging) teknologi, som lar deg å organisere deling av vertssystemressurser og koble til forskjellige gjestesystemer dele en felles systemmiljømal.

I den nye versjonen:

• Предложен альтернативный runtime (runtime-rs), формирующий начинку контейнеров, написанный на языке Rust (ранее поставляемый runtime написан на языке Go). Runtime совместим с OCI, CRI-O и Containerd, что позволяет использовать его с Docker и Kubernetes.
• Предложен новый гипервизор dragonball, основанный на KVM и rust-vmm.
• Добавлена поддержка проброса доступа к GPU, используя VFIO.
• Добавлена поддержка cgroup v2.
• Реализована поддержка подмены настроек без изменения основного файла конфигурации через замену блоков в отдельных файлах, размещаемых в каталоге «config.d/».
• В компонентах на языке Rust задействована новая библиотека для безопасной работы с файловыми путями.
• Компонент virtiofsd (написан на Си) заменён на virtiofsd-rs (написан на Rust).
• Добавлена поддержка sandbox-изоляции компонентов QEMU.
• В QEMU для асинхронного ввода/вывода задействован API io_uring.
• Для QEMU и Cloud-hypervisor реализована поддержка расширений Intel TDX (Trusted Domain Extensions).
• Обновлены компоненты: QEMU 6.2.0, Cloud-hypervisor 26.0, Firecracker 1.1.0, ядро Linux 5.19.2.

Kilde: opennet.ru