Ngaleupaskeun Kata Containers 3.0 kalayan isolasi berbasis virtualisasi

После двух лет разработки опубликован выпуск проекта Kata Containers 3.0, развивающего стек для организации выполнения контейнеров с использованием изоляции на базе полноценных механизмов виртуализации. Проект создан компаниями Intel и Hyper путём объединения технологий Clear Containers и runV. Код проекта написан на языках Go и Rust, и распространяется под лицензией Apache 2.0. Развитие проекта курирует рабочая группа, созданная под эгидой независимой организации OpenStack Foundation, в которой участвуют такие компании, как Canonical, China Mobile, Dell/EMC, EasyStack, Google, Huawei, NetApp, Red Hat, SUSE и ZTE.

Основу Kata составляет runtime, предоставляющий возможность создавать компактные виртуальные машины, выполняемые с использованием полноценного гипервизора, вместо применения традиционных контейнеров, использующих общее ядро Linux и изолированных при помощи пространств имён и cgroups. Применение виртуальных машин позволяет добиться более высокого уровня безопасности, защищающего от совершения атак, вызванных эксплуатацией уязвимостей в ядре Linux.

Kata Containers museurkeun kana integrasi kana infrastruktur isolasi wadah anu tos aya kalayan kamampuan ngagunakeun mesin virtual anu sami pikeun ningkatkeun panyalindungan wadah tradisional. Proyék nyadiakeun mékanisme pikeun mastikeun kasaluyuan mesin virtual lightweight jeung sagala rupa infrastruktur isolasi wadahna, platform orchestration wadahna jeung spésifikasi kayaning OCI (Open Container Initiative), CRI (Container Runtime Interface) jeung CNI (Container Networking Interface). Parabot sayogi pikeun integrasi sareng Docker, Kubernetes, QEMU sareng OpenStack.

Integrasi jeung sistem manajemen wadahna kahontal ngagunakeun lapisan nu simulates manajemén wadahna, nu ngakses agén menata dina mesin virtual ngaliwatan panganteur gRPC sarta proxy husus. Di jero lingkungan maya, anu diluncurkeun ku hypervisor, kernel Linux anu dioptimalkeun khusus dianggo, ngan ngandung set minimum kamampuan anu diperyogikeun.

Salaku hypervisor a, ngarojong pamakéan Dragonball Sandbox (édisi KVM dioptimalkeun pikeun wadahna) kalawan toolkit QEMU, kitu ogé Firecracker na Cloud Hypervisor. Lingkungan sistem kalebet daemon inisialisasi sareng agén. Agén nyayogikeun palaksanaan gambar wadahna anu ditetepkeun ku pangguna dina format OCI pikeun Docker sareng CRI pikeun Kubernetes. Lamun dipaké ditéang jeung Docker, dijieun mesin virtual misah pikeun tiap wadahna, i.e. Lingkungan ngajalankeun on luhureun hypervisor dipaké pikeun nested peluncuran wadahna.

Pikeun ngirangan pamakean mémori, mékanisme DAX dianggo (aksés langsung kana sistem file, ngalangkungan cache halaman tanpa nganggo tingkat alat blok), sareng pikeun nga-deduplicate daérah mémori anu sami, téknologi KSM (Kernel Samepage Merging), anu ngamungkinkeun anjeun pikeun ngirangan konsumsi mémori. pikeun ngatur babagi sumberdaya sistem host tur sambungkeun ka sistem tamu béda babagi template lingkungan sistem umum.

Dina versi anyar:

• Предложен альтернативный runtime (runtime-rs), формирующий начинку контейнеров, написанный на языке Rust (ранее поставляемый runtime написан на языке Go). Runtime совместим с OCI, CRI-O и Containerd, что позволяет использовать его с Docker и Kubernetes.
• Предложен новый гипервизор dragonball, основанный на KVM и rust-vmm.
• Добавлена поддержка проброса доступа к GPU, используя VFIO.
• Добавлена поддержка cgroup v2.
• Реализована поддержка подмены настроек без изменения основного файла конфигурации через замену блоков в отдельных файлах, размещаемых в каталоге «config.d/».
• В компонентах на языке Rust задействована новая библиотека для безопасной работы с файловыми путями.
• Компонент virtiofsd (написан на Си) заменён на virtiofsd-rs (написан на Rust).
• Добавлена поддержка sandbox-изоляции компонентов QEMU.
• В QEMU для асинхронного ввода/вывода задействован API io_uring.
• Для QEMU и Cloud-hypervisor реализована поддержка расширений Intel TDX (Trusted Domain Extensions).
• Обновлены компоненты: QEMU 6.2.0, Cloud-hypervisor 26.0, Firecracker 1.1.0, ядро Linux 5.19.2.

sumber: opennet.ru