🥇Kata Container Tổng quan và Tùy chỉnh

Bài viết này sẽ thảo luận về cách nó hoạt động Kata Container, và cũng sẽ có một phần thực hành với kết nối của họ với Docker.

Về các vấn đề phổ biến với Docker và giải pháp của họ đã có đã được viết, hôm nay mình sẽ mô tả ngắn gọn việc thực hiện từ Kata Containers. Kata Containers là thời gian chạy vùng chứa an toàn dựa trên các máy ảo nhẹ. Làm việc với chúng cũng giống như với các vùng chứa khác, nhưng ngoài ra còn có sự cách ly đáng tin cậy hơn bằng công nghệ ảo hóa phần cứng. Dự án bắt đầu vào năm 2017, khi cộng đồng cùng tên hoàn thành việc hợp nhất các ý tưởng hay nhất từ Intel Clear Containers và Hyper.sh RunV, sau đó công việc tiếp tục hỗ trợ cho các kiến trúc khác nhau, bao gồm AMD64, ARM, IBM p- và z -loạt. Ngoài ra, công việc được hỗ trợ bên trong trình ảo hóa QEMU, Firecracker và cũng có tích hợp với containerd. Mã có sẵn tại GitHub theo giấy phép MIT.

Các tính năng chính

Làm việc với một lõi riêng biệt, do đó cung cấp cách ly mạng, bộ nhớ và I/O, có thể buộc sử dụng cách ly phần cứng dựa trên các phần mở rộng ảo hóa
Hỗ trợ các tiêu chuẩn ngành bao gồm OCI (định dạng vùng chứa), Kubernetes CRI
Hiệu suất nhất quán của các bộ chứa Linux thông thường, tăng khả năng cách ly mà không cần chi phí hoạt động của các máy ảo thông thường
Loại bỏ nhu cầu chạy các thùng chứa bên trong các máy ảo chính thức, giao diện chung đơn giản hóa việc tích hợp và khởi chạy

Cài đặt

Có nhiều tùy chọn cài đặt, tôi sẽ xem xét cài đặt từ kho lưu trữ, dựa trên hệ điều hành Centos 7.
Điều quan trọng là: Công việc của Bộ chứa Kata chỉ được hỗ trợ trên phần cứng, chuyển tiếp ảo hóa không phải lúc nào cũng hoạt động cần hỗ trợ sse4.1 từ bộ xử lý.

Việc cài đặt Kata Container khá đơn giản:

Cài đặt các tiện ích để làm việc với các kho lưu trữ:

# yum -y install yum-utils

Tắt Selinux (cấu hình đúng hơn, nhưng để đơn giản, tôi tắt nó):

# setenforce 0
# sed -i 's/^SELINUX=enforcing$/SELINUX=permissive/' /etc/selinux/config

Chúng tôi kết nối kho lưu trữ và thực hiện cài đặt

# source /etc/os-release
# ARCH=$(arch)
# BRANCH="${BRANCH:-stable-1.10}"
# yum-config-manager --add-repo "http://download.opensuse.org/repositories/home:/katacontainers:/releases:/${ARCH}:/${BRANCH}/CentOS_${VERSION_ID}/home:katacontainers:releases:${ARCH}:${BRANCH}.repo"
# yum -y install kata-runtime kata-proxy kata-shim

điều chỉnh

Tôi sẽ thiết lập để làm việc với docker, cài đặt của nó là điển hình, tôi sẽ không mô tả chi tiết hơn:

# rpm -qa | grep docker
docker-ce-cli-19.03.6-3.el7.x86_64
docker-ce-19.03.6-3.el7.x86_64
# docker -v
Docker version 19.03.6, build 369ce74a3c

Chúng tôi thực hiện các thay đổi đối với daemon.json:

# cat <<EOF > /etc/docker/daemon.json
{
  "default-runtime": "kata-runtime",
  "runtimes": {
    "kata-runtime": {
      "path": "/usr/bin/kata-runtime"
    }
  }
}
EOF

Khởi động lại docker:

# service docker restart

Kiểm tra chức năng

Nếu bạn khởi động container trước khi khởi động lại docker, bạn có thể thấy rằng uname sẽ cung cấp phiên bản kernel chạy trên hệ thống chính:

# docker run busybox uname -a
Linux 19efd7188d06 3.10.0-1062.12.1.el7.x86_64 #1 SMP Tue Feb 4 23:02:59 UTC 2020 x86_64 GNU/Linux

Sau khi khởi động lại, phiên bản kernel trông như thế này:

# docker run busybox uname -a
Linux 9dd1f30fe9d4 4.19.86-5.container #1 SMP Sat Feb 22 01:53:14 UTC 2020 x86_64 GNU/Linux

Nhiều đội hơn!

# time docker run busybox mount
kataShared on / type 9p (rw,dirsync,nodev,relatime,mmap,access=client,trans=virtio)
proc on /proc type proc (rw,nosuid,nodev,noexec,relatime)
tmpfs on /dev type tmpfs (rw,nosuid,size=65536k,mode=755)
devpts on /dev/pts type devpts (rw,nosuid,noexec,relatime,gid=5,mode=620,ptmxmode=666)
sysfs on /sys type sysfs (ro,nosuid,nodev,noexec,relatime)
tmpfs on /sys/fs/cgroup type tmpfs (ro,nosuid,nodev,noexec,relatime,mode=755)
cgroup on /sys/fs/cgroup/systemd type cgroup (ro,nosuid,nodev,noexec,relatime,xattr,name=systemd)
cgroup on /sys/fs/cgroup/cpu,cpuacct type cgroup (ro,nosuid,nodev,noexec,relatime,cpu,cpuacct)
cgroup on /sys/fs/cgroup/blkio type cgroup (ro,nosuid,nodev,noexec,relatime,blkio)
cgroup on /sys/fs/cgroup/memory type cgroup (ro,nosuid,nodev,noexec,relatime,memory)
cgroup on /sys/fs/cgroup/devices type cgroup (ro,nosuid,nodev,noexec,relatime,devices)
cgroup on /sys/fs/cgroup/perf_event type cgroup (ro,nosuid,nodev,noexec,relatime,perf_event)
cgroup on /sys/fs/cgroup/net_cls,net_prio type cgroup (ro,nosuid,nodev,noexec,relatime,net_cls,net_prio)
cgroup on /sys/fs/cgroup/freezer type cgroup (ro,nosuid,nodev,noexec,relatime,freezer)
cgroup on /sys/fs/cgroup/pids type cgroup (ro,nosuid,nodev,noexec,relatime,pids)
cgroup on /sys/fs/cgroup/cpuset type cgroup (ro,nosuid,nodev,noexec,relatime,cpuset)
mqueue on /dev/mqueue type mqueue (rw,nosuid,nodev,noexec,relatime)
shm on /dev/shm type tmpfs (rw,nosuid,nodev,noexec,relatime,size=65536k)
kataShared on /etc/resolv.conf type 9p (rw,dirsync,nodev,relatime,mmap,access=client,trans=virtio)
kataShared on /etc/hostname type 9p (rw,dirsync,nodev,relatime,mmap,access=client,trans=virtio)
kataShared on /etc/hosts type 9p (rw,dirsync,nodev,relatime,mmap,access=client,trans=virtio)
proc on /proc/bus type proc (ro,relatime)
proc on /proc/fs type proc (ro,relatime)
proc on /proc/irq type proc (ro,relatime)
proc on /proc/sys type proc (ro,relatime)
tmpfs on /proc/acpi type tmpfs (ro,relatime)
tmpfs on /proc/timer_list type tmpfs (rw,nosuid,size=65536k,mode=755)
tmpfs on /sys/firmware type tmpfs (ro,relatime)

real    0m2.381s
user    0m0.066s
sys 0m0.039s

# time docker run busybox free -m
              total        used        free      shared  buff/cache   available
Mem:           1993          30        1962           0           1        1946
Swap:             0           0           0

real    0m3.297s
user    0m0.086s
sys 0m0.050s

Kiểm tra tải nhanh

Để đánh giá tổn thất từ ảo hóa - tôi chạy sysbench, làm ví dụ chính lấy tùy chọn này.

Chạy sysbench bằng Docker+containerd

Kiểm tra bộ xử lý

sysbench 1.0:  multi-threaded system evaluation benchmark

Running the test with following options:
Number of threads: 1
Initializing random number generator from current time

Prime numbers limit: 20000

Initializing worker threads...

Threads started!

General statistics:
    total time:                          36.7335s
    total number of events:              10000
    total time taken by event execution: 36.7173s
    response time:
         min:                                  3.43ms
         avg:                                  3.67ms
         max:                                  8.34ms
         approx.  95 percentile:               3.79ms

Threads fairness:
    events (avg/stddev):           10000.0000/0.00
    execution time (avg/stddev):   36.7173/0.00

kiểm tra ram

sysbench 1.0:  multi-threaded system evaluation benchmark

Running the test with following options:
Number of threads: 1
Initializing random number generator from current time

Initializing worker threads...

Threads started!

Operations performed: 104857600 (2172673.64 ops/sec)

102400.00 MiB transferred (2121.75 MiB/sec)

General statistics:
    total time:                          48.2620s
    total number of events:              104857600
    total time taken by event execution: 17.4161s
    response time:
         min:                                  0.00ms
         avg:                                  0.00ms
         max:                                  0.17ms
         approx.  95 percentile:               0.00ms

Threads fairness:
    events (avg/stddev):           104857600.0000/0.00
    execution time (avg/stddev):   17.4161/0.00

Chạy sysbench bằng Docker+Kata Containers

Kiểm tra bộ xử lý

sysbench 1.0:  multi-threaded system evaluation benchmark

Running the test with following options:
Number of threads: 1
Initializing random number generator from current time

Prime numbers limit: 20000

Initializing worker threads...

Threads started!

General statistics:
    total time:                          36.5747s
    total number of events:              10000
    total time taken by event execution: 36.5594s
    response time:
         min:                                  3.43ms
         avg:                                  3.66ms
         max:                                  4.93ms
         approx.  95 percentile:               3.77ms

Threads fairness:
    events (avg/stddev):           10000.0000/0.00
    execution time (avg/stddev):   36.5594/0.00

kiểm tra ram

sysbench 1.0:  multi-threaded system evaluation benchmark

Running the test with following options:
Number of threads: 1
Initializing random number generator from current time

Initializing worker threads...

Threads started!

Operations performed: 104857600 (2450366.94 ops/sec)

102400.00 MiB transferred (2392.94 MiB/sec)

General statistics:
    total time:                          42.7926s
    total number of events:              104857600
    total time taken by event execution: 16.1512s
    response time:
         min:                                  0.00ms
         avg:                                  0.00ms
         max:                                  0.43ms
         approx.  95 percentile:               0.00ms

Threads fairness:
    events (avg/stddev):           104857600.0000/0.00
    execution time (avg/stddev):   16.1512/0.00

Về nguyên tắc, tình hình đã rõ ràng, nhưng sẽ tối ưu hơn nếu chạy thử nghiệm nhiều lần, loại bỏ các giá trị ngoại lệ và lấy trung bình kết quả, vì vậy tôi chưa thực hiện thêm các thử nghiệm khác.

Những phát hiện

Mặc dù thực tế là các bộ chứa như vậy mất khoảng năm đến mười lần để khởi động (thời gian chạy điển hình cho các lệnh tương tự khi sử dụng bộ chứa ít hơn một phần ba giây), chúng vẫn hoạt động khá nhanh nếu chúng ta dành thời gian bắt đầu tuyệt đối (có là các ví dụ ở trên, các lệnh được thực hiện trong trung bình ba giây). Chà, kết quả kiểm tra nhanh CPU và RAM cho thấy kết quả gần như giống nhau, điều này không thể không vui mừng, đặc biệt là do thực tế là sự cách ly được cung cấp bằng cách sử dụng cơ chế hoạt động tốt như kvm.

Thông báo

Bài viết là một bài đánh giá, nhưng nó cho bạn cơ hội cảm nhận thời gian chạy thay thế. Nhiều lĩnh vực ứng dụng không được đề cập, ví dụ: trang web mô tả khả năng chạy Kubernetes trên các Bộ chứa Kata. Ngoài ra, bạn cũng có thể chạy một loạt thử nghiệm tập trung vào việc tìm kiếm các vấn đề bảo mật, đặt giới hạn và những điều thú vị khác.

Tôi yêu cầu tất cả những người đã đọc và tua lại ở đây tham gia vào cuộc khảo sát, dựa vào đó các ấn phẩm trong tương lai về chủ đề này sẽ phụ thuộc vào.

Chỉ những người dùng đã đăng ký mới có thể tham gia khảo sát. Đăng nhập, xin vui lòng.

Tôi có nên tiếp tục xuất bản các bài viết về Kata Container không?

80,0%Vâng, viết nhiều hơn nữa!28
20,0%Không, đừng…7

35 người dùng bình chọn. 7 người dùng bỏ phiếu trắng.

Nguồn: www.habr.com

Tổng quan ngắn gọn và thiết lập của Kata Container