Microsoft har lanserat Hyperlight, en hypervisor för att isolera individuella funktioner i applikationer

Företaget Microsoft har presenterat projektet Hyperlight, som utvecklar en hypervisor avsedd för integrering i applikationer för isolerad körning av kod som inte är betrodd eller som kräver särskilt skydd. Hypervisorn är utformad som ett delat bibliotek som möjliggör körning av individuella funktioner i lätta virtuella maskiner (micro-VM) och organiserar datakommunikationen med dessa funktioner. Koden för projektet är skriven i Rust och distribueras under Apache 2.0-licensen.

Jämfört med start av traditionella virtuella maskiner Hyperlight möjliggör låga latenser och minimala overheadkostnader. I Hyperlight är latensen vid skapandet av virtuella maskiner 1–2 millisekunder, vilket möjliggör isolering på funktionsstartnivå. Som jämförelse tar starten av en vanlig virtuell maskin minst 120 millisekunder, medan starten av en isolerad sandbox-miljö för körning av WebAssembly-kod med hjälp av Wasmtime-runtime tar 0,03 millisekunder.

För isolering på Linux-plattformen stöds användningen av hypervisorerna KVM och mshv (Microsoft Hypervisor i Azure Linux), och på Windows-plattformen — WHP (Windows Hypervisor Platform) och WSL2 (Windows Subsystem for Linux 2) med KVM. macOS-plattformen stöds för närvarande inte. En separat kärna och operativsystem i en virtuell maskin används inte. Innehållet för den virtuella maskinen utformas i form av ett självförsörjande, avladdat program som inkluderar koden för den körda funktionen i en inlindning av runtime och en specialiserad minimal kärna. Den virtuella maskinen använder en enhetlig linjär minnesblock och tilldelas en virtuell CPU, utan enhetsmappning och utan processuppdelning.

Utvecklingsprocessen bygger på kopplingen av den grundläggande applikationskoden med Hyperlight Host-biblioteket, som koordinerar starten av virtuella maskiner, och med koden för de körda funktionerna i isolerat läge (värdfunktioner) med Hyperlight Guest-biblioteket, som tillhandahåller API:er för interaktion med applikationens externa del och möjligheter för isolerad körning av kod utan operativsystemets omgivning.

Den tillhandahållna lagret för interaktion mellan värdapplikationen och de isolerade funktionerna gör det möjligt att inte bara anropa isolerade funktioner från värdapplikationer, utan också att åberopa funktioner från värdapplikationerna från de isolerade funktionerna. Listan över externa funktioner som får anropas från de isolerade funktionerna regleras strängt. Som standard är åtkomsten från de isolerade funktionerna begränsad till ett minimalt API som möjliggör meddelandeutbyte med värdapplikationen.

I framtiden planerar Microsoft att överföra projektet till den ideella organisationen Cloud Native Computing Foundation (CNCF) för gemensam utveckling på en neutral plattform, oberoende av specifika tillverkare. Organisationen CNCF arbetar under Linux Foundation och övervakar utvecklingen av projekt som Kubernetes, etcd, Cilium, Containerd, cri-o, Flux, Helm, Istio och gRPC.

Källa: opennet.ru