{"id":115219,"date":"2024-04-21T14:30:09","date_gmt":"2024-04-21T12:30:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-kata-containers-3-4-s-izolyacziej-na-osnove-virtualizaczii"},"modified":"2024-04-21T14:30:09","modified_gmt":"2024-04-21T12:30:09","slug":"vypusk-kata-containers-3-4-s-izolyacziej-na-osnove-virtualizaczii","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/vypusk-kata-containers-3-4-s-izolyacziej-na-osnove-virtualizaczii","title":{"rendered":"Utg\u00e5van av Kata Containers 3.4 med virtualiseringsbaserad isolering","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Utgivningen av projektet Kata Containers 3.4 har publicerats, som vidareutvecklar en stack f\u00f6r att organisera k\u00f6rningen av containrar med hj\u00e4lp av isolering baserad p\u00e5 fullst\u00e4ndiga virtualiseringsmekanismer. Projektet skapades av f\u00f6retagen Intel och Hyper genom att kombinera teknologierna Clear Containers och runV. Koden f\u00f6r projektet \u00e4r skriven i spr\u00e5ken Go och Rust och distribueras under Apache 2.0-licensen. Utvecklingen av projektet \u00f6vervakas av en arbetsgrupp som skapats under ledning av den oberoende organisationen OpenInfra Foundation, d\u00e4r f\u00f6retag som Canonical, China Mobile, Dell\/EMC, EasyStack, Google, Huawei, NetApp, Red Hat, SUSE och ZTE deltar. <\/p>\n

Grunden i Kata \u00e4r ett runtime som g\u00f6r det m\u00f6jligt att skapa kompakta virtuella maskiner som k\u00f6rs med hj\u00e4lp av en fullst\u00e4ndig hypervisor, ist\u00e4llet f\u00f6r att anv\u00e4nda traditionella containrar som delar en gemensam Linux-k\u00e4rna och isoleras med hj\u00e4lp av namnrymder och cgroups. Anv\u00e4ndningen av virtuella maskiner<\/a> m\u00f6jligg\u00f6r en h\u00f6gre s\u00e4kerhetsniv\u00e5 som skyddar mot attacker orsakade av utnyttjande av s\u00e5rbarheter i Linux-k\u00e4rnan. <\/p>\n

Kata Containers \u00e4r inriktad p\u00e5 integration med befintliga infrastrukturer f\u00f6r containerisolering med m\u00f6jligheten att anv\u00e4nda s\u00e5dana virtuella maskiner f\u00f6r att st\u00e4rka skyddet f\u00f6r traditionella containrar. Projektet tillhandah\u00e5ller mekanismer f\u00f6r att s\u00e4kerst\u00e4lla kompatibilitet f\u00f6r l\u00e4ttvikts virtuella maskiner med olika infrastrukturer f\u00f6r containerisolering, plattformar f\u00f6r orkestrering av containrar och specifikationer som OCI (Open Container Initiative), CRI (Container Runtime Interface) och CNI (Container Networking Interface). Verktyg f\u00f6r integration med Docker, Kubernetes, QEMU och OpenStack \u00e4r tillg\u00e4ngliga. <\/p>\n

Integrationen med containerhanteringssystem uppn\u00e5s med hj\u00e4lp av ett lager som simulerar containerhantering, vilket via gRPC-gr\u00e4nssnittet och en speciell proxy kontaktar en hanteringsagent i den virtuella maskinen. Inuti den virtuella milj\u00f6n, som startas av hypervisorn, anv\u00e4nds en s\u00e4rskilt optimerad Linux-k\u00e4rna, som inneh\u00e5ller endast den minimala upps\u00e4ttningen n\u00f6dv\u00e4ndiga funktioner. <\/p>\n

Som hypervisor st\u00f6ds anv\u00e4ndning av Dragonball Sandbox (KVM-redigering, optimerad f\u00f6r containrar) med verktygen QEMU samt Firecracker och Cloud Hypervisor. Systemmilj\u00f6n inkluderar en initieringsdemonstration och en agent (Agent). Agenten m\u00f6jligg\u00f6r k\u00f6rning av specifika anv\u00e4ndarbildkontainrar i OCI-format f\u00f6r Docker och CRI f\u00f6r Kubernetes. N\u00e4r den anv\u00e4nds tillsammans med Docker skapas en separat virtuell maskin<\/a>, dvs. den k\u00f6rs ovanp\u00e5 hypervisorn och anv\u00e4nds f\u00f6r inneslutet k\u00f6rning av containrar. <\/p>\n

\"Utg\u00e5van<\/center> <\/p>\n

F\u00f6r att minska minnesanv\u00e4ndningen anv\u00e4nds mekanismen DAX (direct access to the FS bypassing page cache without using block device layer), och f\u00f6r deduplicering av identiska minnesomr\u00e5den anv\u00e4nds teknologin KSM (Kernel Samepage Merging), vilket m\u00f6jligg\u00f6r delning av resurser p\u00e5 v\u00e4rdsystemet och anslutning till olika g\u00e4stsystem med en gemensam systemmilj\u00f6mall. <\/p>\n

F\u00f6r att organisera \u00e5tkomsten till containarbilder anv\u00e4nds filsystemet Nydus, som anv\u00e4nder inneh\u00e5llsadresssering f\u00f6r effektivt samarbete med standardbilder. Nydus st\u00f6der on-demand laddning av bilder (laddar bara n\u00e4r det beh\u00f6vs), tillhandah\u00e5ller deduplicering av upprepade data och kan anv\u00e4nda olika backend-l\u00f6sningar f\u00f6r faktisk lagring. Det erbjuds kompatibilitet med POSIX (liknande Composefs, kombinerar Nydus funktionerna fr\u00e5n OverlayFS med EROFS eller FUSE-modulen). <\/p>\n

I den nya versionen: <\/p>\n