Siideynta Kata Containers 3.2 oo leh go'doon ku salaysan macruufka

Опубликован выпуск проекта Kata Containers 3.2, развивающего стек для организации выполнения контейнеров с использованием изоляции на базе полноценных механизмов виртуализации. Проект создан компаниями Intel и Hyper путём объединения технологий Clear Containers и runV. Код проекта написан на языках Go и Rust, и распространяется под лицензией Apache 2.0. Развитие проекта курирует рабочая группа, созданная под эгидой независимой организации OpenStack Foundation, в которой участвуют такие компании, как Canonical, China Mobile, Dell/EMC, EasyStack, Google, Huawei, NetApp, Red Hat, SUSE и ZTE.

Основу Kata составляет runtime, позволяющий создавать компактные виртуальные машины, выполняемые с использованием полноценного гипервизора, вместо применения традиционных контейнеров, использующих общее ядро Linux и изолированных при помощи пространств имён и cgroups. Применение виртуальных машин позволяет добиться более высокого уровня безопасности, защищающего от совершения атак, вызванных эксплуатацией уязвимостей в ядре Linux.

Konteenarada Kata waxa ay diirada saaraysaa is dhex galka kaabayaasha go'doominta weelka ee jira iyada oo awood u leh in ay isticmaasho mashiinada casriga ah si kor loogu qaado ilaalinta weelasha dhaqameed. Mashruucu wuxuu bixiyaa habab lagu sameeyo mashiinnada casriga ah ee fudud oo la jaanqaadi kara qaababka go'doominta weelka ee kala duwan, aaladaha abaabulka weelka, iyo tilmaamo sida OCI (Initiative Container Initiative), CRI (Container Runtime Interface), iyo CNI (Container Networking Interface). Isku dhafka Docker, Kubernetes, QEMU, iyo OpenStack ayaa diyaar ah.

Isku dhafka hababka maaraynta weelka waxaa lagu gaaraa iyada oo la adeegsanayo lakab u dhigma maaraynta weelka, kaas oo, iyada oo loo marayo interface gRPC iyo wakiil gaar ah, gelaya wakiilka kantaroolka ee mashiinka farsamada. Gudaha jawiga farsamada, kaas oo uu bilaabay hypervisor-ka, kernel Linux si gaar ah loo hagaajiyay ayaa la isticmaalaa, oo ka kooban kaliya ugu yar ee sifooyinka lagama maarmaanka ah.

Hypervisor ahaan, isticmaalka Dragonball Sandbox (daabacaadda KVM ee loo habeeyay weelasha) oo leh agabka QEMU waa la taageerayaa, iyo sidoo kale Firecracker iyo Cloud Hypervisor. Deegaanka nidaamka waxaa ka mid ah daemonka bilowga ah iyo wakiilka. Wakiilku wuxuu u wadaa sawirada weelka isticmaale-qeexay ee qaabka OCI ee Docker iyo CRI ee Kubernetes. Marka lala isticmaalo Docker, mashiinka farsamada gaarka ah ayaa loo abuuray weel kasta, i.e. deegaanka hypervisor-la bilaabay waxaa loo isticmaalaa in lagu buul buul.

Si loo yareeyo isticmaalka xusuusta, habka DAX ayaa loo isticmaalaa (helitaanka tooska ah ee FS iyada oo la marinayo khasnadda bogga iyada oo aan la isticmaalin heerka qalabka xannibaadda), iyo tignoolajiyada KSM (Kernel Samepage Merging) ayaa loo isticmaalaa in laga saaro meelaha xusuusta isku midka ah, taas oo u oggolaanaysa wadaagista ilaha nidaamka martida loo yahay. iyo ku xidhidhiyaha nidaamyada martida kala duwan qaab guud hab deegaanka.

Nooca cusub:

• Помимо поддержки архитектуры AMD64 (x86_64) обеспечено формирование релизов для архитектур ARM64 (Aarch64) и s390 (IBM Z). В разработке находится поддержка архитектуры ppc64le (IBM Power).
• Для организации доступа к образам контейнеров задействована файловая система Nydus 2.2.0, в которой используется адресация по содержимому для эффективной совместной работы с типовыми образами. Nydus поддерживает загрузку образов на лету (загружает только при возникновении необходимости), обеспечивает дедупликацию повторяющихся данных и может использовать разные бэкенды для фактического хранения. Предоставляется совместимость с POSIX (по аналогии с Composefs, реализация Nydus совмещает возможности OverlayFS c EROFS или FUSE-модулем).
• В основной состав проекта Kata Containers интегрирован менеджер виртуальных машин Dragonball, который теперь будет развиваться в общем репозитории.
• В утилиту kata-ctl добавлена отладочная функция для подключения к виртуальной машине из хост-окружения.
• Расширены возможности по управлению GPU и добавлена поддержка проброса GPU в контейнеры для конфиденциальных вычислений (Confidential Container), в который обеспечивается шифрование данных, памяти и состояния выполнения для защиты в случае компрометации хост-окружения или гипервизора.
• В Runtime-rs добавлена подсистема управления устройствами, используемыми в контейнерах или sandbox-окружениях. Поддерживается работа с vfio, блочными, сетевыми и другими типами устройств.
• Обеспечена совместимость с OCI Runtime 1.0.2 и Kubernetes 1.23.1.
• В качестве ядра Linux рекомендовано использовать выпуск 6.1.38 с патчами.
• Разработка переведена с использования системы непрерывной интеграции Jenkins на GitHub Actions.

Source: opennet.ru