Ukukhishwa Kweziqukathi ze-Kata 3.0 ngokuhlukaniswa okusekelwe ku-virtualization

После двух лет разработки опубликован выпуск проекта Kata Containers 3.0, развивающего стек для организации выполнения контейнеров с использованием изоляции на базе полноценных механизмов виртуализации. Проект создан компаниями Intel и Hyper путём объединения технологий Clear Containers и runV. Код проекта написан на языках Go и Rust, и распространяется под лицензией Apache 2.0. Развитие проекта курирует рабочая группа, созданная под эгидой независимой организации OpenStack Foundation, в которой участвуют такие компании, как Canonical, China Mobile, Dell/EMC, EasyStack, Google, Huawei, NetApp, Red Hat, SUSE и ZTE.

Основу Kata составляет runtime, предоставляющий возможность создавать компактные виртуальные машины, выполняемые с использованием полноценного гипервизора, вместо применения традиционных контейнеров, использующих общее ядро Linux и изолированных при помощи пространств имён и cgroups. Применение виртуальных машин позволяет добиться более высокого уровня безопасности, защищающего от совершения атак, вызванных эксплуатацией уязвимостей в ядре Linux.

I-Kata Containers igxile ekuhlanganisweni kuzingqalasizinda ezikhona zokuhlukanisa iziqukathi ezinekhono lokusebenzisa imishini efanayo ebonakalayo ukuthuthukisa ukuvikelwa kweziqukathi zendabuko. Le phrojekthi ihlinzeka ngezindlela zokuqinisekisa ukuhambisana kwemishini engasindi enezingqalasizinda ezahlukahlukene zokuhlukanisa iziqukathi, amapulatifomu e-orchestration ye-container kanye nokucaciswa okufana ne-OCI (Open Container Initiative), i-CRI (I-Container Runtime Interface) kanye ne-CNI (I-Container Networking Interface). Amathuluzi ayatholakala ukuze ahlanganiswe ne-Docker, Kubernetes, QEMU kanye ne-OpenStack.

Ukuhlanganiswa nezinhlelo zokuphatha iziqukathi kufinyelelwa kusetshenziswa isendlalelo esilingisa ukuphathwa kwesiqukathi, esifinyelela umenzeli ophethe emshinini obonakalayo ngokusebenzisa isixhumi esibonakalayo se-gRPC kanye nommeleli okhethekile. Ngaphakathi kwendawo ebonakalayo, eyethulwa yi-hypervisor, kusetshenziswa i-Linux kernel eyenziwe kahle, equkethe kuphela isethi encane yamakhono adingekayo.

Njenge-hypervisor, isekela ukusetshenziswa kwe-Dragonball Sandbox (uhlelo lwe-KVM olulungiselelwe iziqukathi) ngekhithi yamathuluzi ye-QEMU, kanye ne-Firecracker ne-Cloud Hypervisor. Indawo yesistimu ihlanganisa i-daemon yokuqalisa kanye ne-ejenti. Umenzeli uhlinzeka ngokusetshenziswa kwezithombe zesiqukathi esichazwe umsebenzisi ngefomethi ye-OCI ye-Docker ne-CRI ye-Kubernetes. Uma isetshenziswa ngokubambisana ne-Docker, umshini ohlukile we-virtual wenziwa esitsheni ngasinye, i.e. Indawo esebenza phezu kwe-hypervisor isetshenziselwa ukwethulwa kwesidleke kweziqukathi.

Ukuze kuncishiswe ukusetshenziswa kwememori, kusetshenziswa indlela ye-DAX (ukufinyelela okuqondile ohlelweni lwefayela, ukweqa inqolobane yekhasi ngaphandle kokusebenzisa izinga ledivayisi yokuvimba), kanye nokuphindaphinda izindawo ezifanayo zenkumbulo, kusetshenziswa ubuchwepheshe be-KSM (Kernel Samepage Merging), obuvumela ukuthi ukuhlela ukwabelana kwezinsiza zesistimu yokusingatha futhi uxhume kumasistimu wezihambeli ahlukene wabelane ngesifanekiso sendawo yesistimu evamile.

Enguqulweni entsha:

• Предложен альтернативный runtime (runtime-rs), формирующий начинку контейнеров, написанный на языке Rust (ранее поставляемый runtime написан на языке Go). Runtime совместим с OCI, CRI-O и Containerd, что позволяет использовать его с Docker и Kubernetes.
• Предложен новый гипервизор dragonball, основанный на KVM и rust-vmm.
• Добавлена поддержка проброса доступа к GPU, используя VFIO.
• Добавлена поддержка cgroup v2.
• Реализована поддержка подмены настроек без изменения основного файла конфигурации через замену блоков в отдельных файлах, размещаемых в каталоге «config.d/».
• В компонентах на языке Rust задействована новая библиотека для безопасной работы с файловыми путями.
• Компонент virtiofsd (написан на Си) заменён на virtiofsd-rs (написан на Rust).
• Добавлена поддержка sandbox-изоляции компонентов QEMU.
• В QEMU для асинхронного ввода/вывода задействован API io_uring.
• Для QEMU и Cloud-hypervisor реализована поддержка расширений Intel TDX (Trusted Domain Extensions).
• Обновлены компоненты: QEMU 6.2.0, Cloud-hypervisor 26.0, Firecracker 1.1.0, ядро Linux 5.19.2.

Source: opennet.ru