Bolo zverejnené vydanie projektu Kata Containers 3.2, ktorý vyvíja zásobník na organizáciu vykonávania kontajnerov pomocou izolácie založenej na plnohodnotných virtualizačných mechanizmoch. Projekt bol vytvorený spoločnosťami Intel a Hyper spojením technológií Clear Containers a runV. Kód projektu je napísaný v Go and Rust a je distribuovaný pod licenciou Apache 2.0. Na vývoj projektu dohliada pracovná skupina vytvorená pod záštitou nezávislej organizácie OpenStack Foundation, do ktorej patria spoločnosti ako Canonical, China Mobile, Dell/EMC, EasyStack, Google, Huawei, NetApp, Red Hat, SUSE a ZTE .
Kata je založená na runtime prostredí, ktoré umožňuje vytváranie kompaktných virtuálnych strojov bežiacich na plnohodnotnom hypervízore namiesto použitia tradičných kontajnerov, ktoré používajú spoločné jadro. Linux a izolované pomocou menných priestorov a kontrolných skupín. Aplikácia virtuálne stroje umožňuje vyššiu úroveň zabezpečenia, ktorá chráni pred útokmi spôsobenými zneužitím zraniteľností jadra Linux.
Kata Containers sa zameriava na integráciu do existujúcich infraštruktúr na izoláciu kontajnerov so schopnosťou používať podobné virtuálne stroje na zvýšenie ochrany tradičných kontajnerov. Projekt poskytuje mechanizmy na zabezpečenie kompatibility ľahkých virtuálnych strojov s rôznymi infraštruktúrami na izoláciu kontajnerov, platformami na orchestráciu kontajnerov a špecifikáciami, ako sú OCI (Open Container Initiative), CRI (Container Runtime Interface) a CNI (Container Networking Interface). K dispozícii sú nástroje na integráciu s Docker, Kubernetes, QEMU a OpenStack.
Integrácia so systémami správy kontajnerov sa dosahuje pomocou vrstvy simulujúcej správu kontajnerov, ktorá komunikuje s agentom správy vo virtuálnom počítači prostredníctvom rozhrania gRPC a vyhradeného proxy servera. Vo virtuálnom prostredí sa používa špeciálne optimalizované jadro, ktoré spúšťa hypervízor. Linux, ktorý obsahuje iba minimálnu sadu potrebných funkcií.
Podporovaný hypervízor je Dragonball Sandbox (edícia KVM optimalizovaná pre kontajnery) s QEMU, ako aj Firecracker a Cloud Hypervisor. Systémové prostredie obsahuje init démona a agenta. Agent umožňuje spúšťanie používateľom definovaných obrazov kontajnerov vo formáte OCI pre Docker a vo formáte CRI pre Kubernetes. Pri použití v spojení s Dockerom sa pre každý kontajner vytvorí samostatná inštancia. virtuálny prístroj, t. j. prostredie bežiace nad hypervízorom sa používa na vnorené spúšťanie kontajnerov.
Na zníženie spotreby pamäte sa používa mechanizmus DAX (priamy prístup do súborového systému, obchádzanie vyrovnávacej pamäte stránok bez použitia úrovne blokového zariadenia) a na deduplikáciu identických pamäťových oblastí sa používa technológia KSM (Kernel Samepage Merging), ktorá umožňuje na organizovanie zdieľania zdrojov hostiteľského systému a pripojenie k rôznym hosťovským systémom zdieľajú spoločnú šablónu systémového prostredia.
V novej verzii:
- Okrem podpory pre architektúru AMD64 (x86_64) sú k dispozícii aj vydania pre architektúry ARM64 (Aarch64) a s390 (IBM Z). Podpora pre architektúru ppc64le (IBM Power) je vo vývoji.
- Na organizáciu prístupu k obrázkom kontajnerov sa používa súborový systém Nydus 2.2.0, ktorý využíva adresovanie obsahu na efektívnu spoluprácu so štandardnými obrázkami. Nydus podporuje načítavanie obrázkov za chodu (sťahovanie len v prípade potreby), poskytuje deduplikáciu duplicitných údajov a na skutočné ukladanie môže používať rôzne backendy. Je zabezpečená kompatibilita POSIX (podobne ako v prípade Composefs, implementácia Nydus kombinuje možnosti OverlayFS s modulom EROFS alebo FUSE).
- Správca virtuálneho stroja Dragonball bol integrovaný do hlavnej štruktúry projektu Kata Containers, ktorý sa teraz bude vyvíjať v spoločnom úložisku.
- Do nástroja kata-ctl bola pridaná funkcia ladenia na pripojenie k virtuálnemu stroju z hostiteľského prostredia.
- Možnosti správy GPU boli rozšírené a bola pridaná podpora pre preposielanie GPU do kontajnerov pre dôverné výpočty (Confidential Container), ktorý poskytuje šifrovanie údajov, pamäte a stavu vykonávania pre ochranu v prípade kompromitácie hostiteľského prostredia alebo hypervízora.
- Do Runtime-rs bol pridaný podsystém na správu zariadení používaných v kontajneroch alebo prostrediach karantény. Podporuje prácu s vfio, blokovými, sieťovými a inými typmi zariadení.
- Je zabezpečená kompatibilita s OCI Runtime 1.0.2 a Kubernetes 1.23.1.
- Ako jadro Linux Odporúča sa používať verziu 6.1.38 s opravami.
- Vývoj bol presunutý z používania systému kontinuálnej integrácie Jenkins na GitHub Actions.
Zdroj: opennet.ru
