{"id":115219,"date":"2024-04-21T14:30:09","date_gmt":"2024-04-21T12:30:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-kata-containers-3-4-s-izolyacziej-na-osnove-virtualizaczii"},"modified":"2024-04-21T14:30:09","modified_gmt":"2024-04-21T12:30:09","slug":"vypusk-kata-containers-3-4-s-izolyacziej-na-osnove-virtualizaczii","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/vypusk-kata-containers-3-4-s-izolyacziej-na-osnove-virtualizaczii","title":{"rendered":"Wydanie Kata Containers 3.4 z izolacj\u0105 opart\u0105 na wirtualizacji","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Opublikowano wersj\u0119 projektu Kata Containers 3.4, rozwijaj\u0105cego zestaw do uruchamiania kontener\u00f3w z wykorzystaniem izolacji opartej na pe\u0142noprawnych mechanizmach wirtualizacji. Projekt zosta\u0142 stworzony przez firmy Intel i Hyper poprzez po\u0142\u0105czenie technologii Clear Containers i runV. Kod projektu jest napisany w j\u0119zykach Go i Rust, i jest dystrybuowany na licencji Apache 2.0. Rozw\u00f3j projektu nadzoruje grupa robocza utworzona pod egid\u0105 niezale\u017cnej organizacji OpenInfra Foundation, w kt\u00f3rej bior\u0105 udzia\u0142 takie firmy, jak Canonical, China Mobile, Dell\/EMC, EasyStack, Google, Huawei, NetApp, Red Hat, SUSE i ZTE. <\/p>\n

Podstaw\u0105 Kata jest runtime, kt\u00f3ry pozwala na tworzenie kompaktowych maszyn wirtualnych dzia\u0142aj\u0105cych z wykorzystaniem pe\u0142noprawnego hyperwizora, zamiast tradycyjnych kontener\u00f3w, kt\u00f3re wykorzystuj\u0105 wsp\u00f3lne j\u0105dro Linux i s\u0105 izolowane przy pomocy przestrzeni nazw i cgroups. Zastosowanie maszyn wirtualnych<\/a> pozwala na osi\u0105gni\u0119cie wy\u017cszego poziomu bezpiecze\u0144stwa, chroni\u0105cego przed atakami wynikaj\u0105cymi z eksploatacji luk w j\u0105drze Linux. <\/p>\n

Kata Containers jest ukierunkowany na integracj\u0119 z istniej\u0105cymi infrastrukturami izolacji kontener\u00f3w, z mo\u017cliwo\u015bci\u0105 stosowania podobnych maszyn wirtualnych do wzmocnienia ochrony tradycyjnych kontener\u00f3w. Projekt oferuje mechanizmy zapewniaj\u0105ce kompatybilno\u015b\u0107 lekkich maszyn wirtualnych z r\u00f3\u017cnymi infrastrukturami izolacji kontener\u00f3w, platformami orkiestracji kontener\u00f3w oraz specyfikacjami takimi jak OCI (Open Container Initiative), CRI (Container Runtime Interface) i CNI (Container Networking Interface). Dost\u0119pne s\u0105 narz\u0119dzia do integracji z Dockerem, Kubernetes, QEMU i OpenStack. <\/p>\n

Integracja z systemami zarz\u0105dzania kontenerami osi\u0105gana jest dzi\u0119ki warstwie symuluj\u0105cej zarz\u0105dzanie kontenerem, kt\u00f3ra przez interfejs gRPC oraz specjalny proxy komunikuje si\u0119 z agentem zarz\u0105dzaj\u0105cym w maszynie wirtualnej. W obr\u0119bie wirtualnego \u015brodowiska, kt\u00f3re uruchamia hyperwizor, stosowane jest specjalnie zoptymalizowane j\u0105dro Linux, zawieraj\u0105ce jedynie minimalny zestaw niezb\u0119dnych mo\u017cliwo\u015bci. <\/p>\n

Jako hipernadzorca obs\u0142ugiwany jest Dragonball Sandbox (wydanie KVM, zoptymalizowane pod k\u0105tem kontener\u00f3w) z narz\u0119dziami QEMU, a tak\u017ce Firecracker i Cloud Hypervisor. \u015arodowisko systemowe obejmuje demona inicjalizacyjnego i agenta (Agent). Agent zapewnia uruchamianie obraz\u00f3w kontener\u00f3w w formacie OCI dla Dockera i CRI dla Kubernetesa okre\u015blonych przez u\u017cytkownika. Przy u\u017cyciu Dockera dla ka\u017cdego kontenera tworzone jest oddzielne maszyna wirtualna<\/a>, tzn. uruchamiane na hipernadzorze \u015brodowisko jest stosowane do zagnie\u017cd\u017conego uruchamiania kontener\u00f3w. <\/p>\n

\"Wydanie<\/center> <\/p>\n

Aby zmniejszy\u0107 zu\u017cycie pami\u0119ci, wdro\u017cono mechanizm DAX (bezpo\u015bredni dost\u0119p do systemu plik\u00f3w z pomini\u0119ciem pami\u0119ci podr\u0119cznej stron bez wykorzystywania poziomu urz\u0105dze\u0144 blokowych), a do deduplikacji powtarzaj\u0105cych si\u0119 obszar\u00f3w pami\u0119ci stosowana jest technologia KSM (Kernel Samepage Merging), co pozwala na zorganizowanie wsp\u00f3lnego wykorzystania zasob\u00f3w systemu gospodarza i pod\u0142\u0105czenie do r\u00f3\u017cnych system\u00f3w go\u015bcinnych wsp\u00f3lnego szablonu \u015brodowiska systemowego. <\/p>\n

Do organizacji dost\u0119pu do obraz\u00f3w kontener\u00f3w wykorzystano system plik\u00f3w Nydus, kt\u00f3ry korzysta z adresowania opartego na zawarto\u015bci dla efektywnej wsp\u00f3\u0142pracy z typowymi obrazami. Nydus obs\u0142uguje \u0142adowanie obraz\u00f3w na \u017c\u0105danie (\u0142adowane tylko w razie potrzeby), zapewnia deduplikacj\u0119 powtarzaj\u0105cych si\u0119 danych i mo\u017ce korzysta\u0107 z r\u00f3\u017cnych backend\u00f3w do rzeczywistego przechowywania. Zapewnia zgodno\u015b\u0107 z POSIX (w podobny spos\u00f3b jak Composefs, implementacja Nydus \u0142\u0105czy mo\u017cliwo\u015bci OverlayFS z EROFS lub modu\u0142em FUSE). <\/p>\n

W nowej wersji: <\/p>\n