Foi publicado o lançamento do projeto Kata Containers 3.4, que desenvolve uma pilha para a execução de contêineres utilizando isolamento baseado em mecanismos de virtualização completos. O projeto foi criado pelas empresas Intel e Hyper por meio da fusão das tecnologias Clear Containers e runV. O código do projeto é escrito em Go e Rust, e é distribuído sob a licença Apache 2.0. O desenvolvimento do projeto é supervisionado por um grupo de trabalho formado sob a égide da organização independente OpenInfra Foundation, que conta com a participação de empresas como Canonical, China Mobile, Dell/EMC, EasyStack, Google, Huawei, NetApp, Red Hat, SUSE e ZTE.
A base do Kata é um runtime que permite criar máquinas virtuais compactas, executadas com um hipervisor completo, em vez de utilizar contêineres tradicionais que compartilham o núcleo Linux e são isolados por meio de namespaces e cgroups. A aplicação máquinas virtuais permite alcançar um nível de segurança mais elevado, protegendo contra ataques resultantes da exploração de vulnerabilidades no núcleo Linux.
Kata Containers é voltado para a integração em infraestruturas existentes de isolamento de contêineres, possibilitando o uso de máquinas virtuais semelhantes para reforçar a proteção de contêineres tradicionais. O projeto fornece mecanismos para garantir a compatibilidade de máquinas virtuais leves com várias infraestruturas de isolamento de contêineres, plataformas de orquestração de contêineres e especificações como OCI (Open Container Initiative), CRI (Container Runtime Interface) e CNI (Container Networking Interface). Ferramentas para integração com Docker, Kubernetes, QEMU e OpenStack estão disponíveis.
A integração com sistemas de gerenciamento de contêineres é alcançada por meio de uma camada que simula o gerenciamento do contêiner, a qual, através de uma interface gRPC e um proxy especial, se comunica com o agente de gerenciamento na máquina virtual. Dentro do ambiente virtual, que é iniciado pelo hipervisor, é utilizado um núcleo Linux especialmente otimizado, contendo apenas o conjunto mínimo de funcionalidades necessárias.
Como hipervisor, é suportada a utilização do Dragonball Sandbox (edição KVM otimizada para contêineres) com a ferramenta QEMU, além do Firecracker e do Cloud Hypervisor. O ambiente do sistema inclui um daemon de inicialização e um agente (Agent). O agente garante a execução de imagens de contêiner específicas do usuário no formato OCI para Docker e CRI para Kubernetes. Quando utilizado em conjunto com o Docker, um máquina virtualou seja, o ambiente executável criado sobre o hipervisor é aplicado para o lançamento aninhado de contêineres.
Para reduzir o consumo de memória, é utilizado o mecanismo DAX (acesso direto ao FS, contornando o cache de página sem o uso de unidades de bloco), e para deduplicar áreas de memória idênticas, é aplicada a tecnologia KSM (Kernel Samepage Merging), permitindo o compartilhamento de recursos do sistema host e a conexão de um modelo comum de ambiente do sistema a diferentes sistemas convidados.
Para organizar o acesso às imagens de contêineres, a sistema de arquivos Nydus é empregada, que utiliza endereçamento baseado no conteúdo para uma colaboração eficiente com imagens típicas. O Nydus suporta a carga de imagens em tempo real (carregando somente quando necessário), garante deduplicação de dados repetidos e pode usar diferentes backends para o armazenamento real. É fornecida compatibilidade com POSIX (semelhante ao Composefs, a implementação do Nydus combina as capacidades do OverlayFS com EROFS ou um módulo FUSE).
Na nova versão:
- O gerenciador de máquinas virtuais Dragonball agora suporta a conexão a quente de GPUs e a possibilidade de uso dos registradores MTRR (Memory-Type Range Registers) para organizar o acesso a áreas de memória física.
- No runtime-rs, implementação de runtime na linguagem Rust, foi garantido o processamento completo de processos, pid e tid, além de uma revisão do driver qemu, que é utilizado em sistemas com arquitetura s390 (IBM Z).
- O serviço para a criação de snapshots foi atualizado utilizando o FS Nydus.
- No serviço de gerenciamento de imagens de contêineres, a eficiência no trabalho com memória foi aumentada.
- O montagem da hierarquia cgroups-v2 durante a inicialização com systemd está habilitada por padrão.
- Foi adicionada a possibilidade de definir um tempo limite para restringir o tempo de obtenção de imagens muito grandes nos sistemas convidados.
- Adicionada a suporte para a construção do agente OPA (Open Policy Agent) para arquiteturas ppc64le e s390x.
Fonte: opennet.ru
