🌓 💅🏽 👩🏾‍🤝‍👨🏽 AWC लिनक्स के लिए पटाखे - माइक्रो-वर्चुअलाइजेशन का परिचय देता है 👩‍👦 💺 🦃

AWS re: Invent 2018 में, जो इन दिनों लास वेगास में हो रहा है, लिनक्स केवीएम पर आधारित एक नए ओपन सोर्स वर्चुअलाइजेशन टेक्नोलॉजी, फायरक्रैकर की घोषणा हुई । लेखकों का वादा है कि इसके साथ, "एक दूसरे विभाजन में, आप एक गैर-वर्चुअलाइज्ड वातावरण में हल्के माइक्रो-वर्चुअल मशीन (माइक्रोवीएम) चला सकते हैं, पारंपरिक वीएम के फायदे प्राप्त कर सकते हैं - सुरक्षा और वर्कलोड और कंटेनरों के अलगाव के रूप में - संसाधनों के कुशल उपयोग के रूप में।"

प्रागितिहास

अमेज़ॅन वेब सर्विसेज के कर्मचारियों द्वारा पटाखे विकसित किए जा रहे हैं, जो AWS लैम्ब्डा (2014 में लॉन्च किए गए और आज सर्वर रहित मॉडल जारी रहेगा ) और AWS Fargate जैसी सेवाओं के उपयोगकर्ताओं के लिए संसाधन की खपत और समग्र जीवन को बेहतर बनाने के लिए निर्धारित किया गया है। )।

यह परियोजना Google के ओपन सोर्स डेवलपमेंट पर आधारित थी, जो क्रोमियम ओएस से क्रॉसवम है, जो रस्ट में लिखा गया है और यह डिवाइस वर्चुअलाइजेशन (लेकिन वास्तविक हार्डवेयर का अनुकरण किए बिना) के साथ ऑपरेटिंग सिस्टम लॉन्च करने के लिए जिम्मेदार है। इसलिए, पटाखा कोड को रस्ट भाषा में भी लिखा जाता है , और इसके लेखक मूल परियोजना के कोड आधार पर अपने सुधार को वापस करने का वादा करते हैं, हालांकि परियोजनाएं स्वयं उद्देश्य में बहुत भिन्न हैं।

पटाखे की पहली सार्वजनिक रिलीज़ - 0.1.0 - इस साल के मार्च में हुई, और आखिरी नवीनतम रिलीज - 0.11.0 - कुछ दिन पहले। मैंने पटाखे की इंटरनेट घोषणा के तुरंत बाद इस लेख को लिखना शुरू कर दिया, जब प्रोजेक्ट में गिटहब पर 76 सितारे थे, और प्रकाशन के समय यह आंकड़ा 500 से अधिक था।

पटाखे की सुविधाएँ

पटाखे का मुख्य घटक वर्चुअल मशीन मॉनिटर (वीएमएम) है, जो तथाकथित केवीवीएम बनाने और चलाने के लिए लिनक्स केवीएम का उपयोग करता है। लेखक अपने उत्पाद को "QEMU के लिए एक क्लाउड-आधारित विकल्प" कहते हैं [काटा कंटेनरों द्वारा उपयोग किया जाता है], "केवल कंटेनरों के सुरक्षित और कुशल लॉन्च के लिए।"

और यहाँ एक होस्ट सिस्टम का उदाहरण दिया गया है जो उल्लेखित microVMs को चलाता है:

डेवलपर्स अतिसूक्ष्मवाद के लिए प्रयास करते हैं, जिसमें उत्पाद केवल सबसे आवश्यक है और जिससे न्यूनतम स्मृति लागत सुनिश्चित होती है, और साथ ही साथ कमजोरियों की संभावना कम हो जाती है। पटाखे में, केवल 4 उपकरणों का अनुकरण किया जाता है: गुण-जाल, गुण-खंड, सीरियल कंसोल और 1 बटन वाला एक कीबोर्ड, जिसका उपयोग माइक्रोवीएम के संचालन को रोकने के लिए किया जाता है। वर्तमान में, लिनक्स कर्नेल संस्करण 4.14 (पिछले साल नवंबर से जारी ) और उच्चतर पर आधारित ओएस होस्ट और अतिथि ऑपरेटिंग सिस्टम के रूप में समर्थित हैं, और डेवलपर्स की वर्तमान योजना लिनक्स कर्नेल की अंतिम दो स्थिर शाखाओं का समर्थन करने के लिए है। हार्डवेयर के संदर्भ में, अब तक केवल इंटेल प्रोसेसर का समर्थन किया जाता है, लेकिन एएमडी और एआरएम एजेंडे पर हैं।

पटाखे में एक ही वीएमएम प्रक्रिया होती है, जो स्टार्टअप में होस्ट मशीन पर एंडपॉइंट (रेस्टफुल) एपीआई उपलब्ध कराती है। एपीआई खुद को ओपनएपीआई प्रारूप में वर्णित किया गया है और विशेष रूप से, आपको निर्दिष्ट मापदंडों (कर्नेल छवि, रूट फाइल सिस्टम, बूट तर्क) के साथ माइक्रोवीएम शुरू करने और इसे रोकने की अनुमति देता है, वर्चुअल मशीन (वीसीपीयू, रैम, सीपीयू की संख्या) कॉन्फ़िगर करें, जोड़ें। नेटवर्क इंटरफेस, डिस्क (ब्लॉक डिवाइस के रूप में प्रस्तुत, रीड-राइट और रीड-ओनली मोड उपलब्ध हैं), लॉग और मेट्रिक्स के लिए सिस्टम को कॉन्फ़िगर करें।

पटाखे के मुख्य लाभ सुरक्षा हैं (बहु-किरायेदार कंप्यूटिंग पर ध्यान केंद्रित, कई अलगाव स्तर), उच्च प्रदर्शन (microVM 125 एमएस में लॉन्च किया जा सकता है, और लेखक अगले साल इस आंकड़े को बेहतर बनाने का वादा करते हैं), न्यूनतम ओवरहेड (प्रत्येक माइक्रोमीटर 5 मेगाबाइट का उपभोग करता है) स्मृति)। क्या परियोजना के लिए वजन जोड़ता है - यह पहले से ही "लड़ाई में" परीक्षण किया गया है और कई एडब्ल्यूएस सेवाओं (उल्लिखित लैम्ब्डा और फारगेट सहित) का काम प्रदान करता है।

सुरक्षा विवरण

पटाखे की मुख्य विशेषताओं में, उच्च स्तर की सुरक्षा सुनिश्चित करने पर ध्यान केंद्रित करना, निम्नलिखित हैं:

सरल अतिथि मॉडल (सभी मेहमानों के लिए केवल बहुत ही न्यूनतम प्रदान किया जाता है - ऊपर 4 उपकरणों के बारे में देखें)।
Cgroups और seccomp BPF के साथ पटाखे की प्रक्रिया को अलग करना, साथ ही अनुमत सिस्टम कॉल का सीमित सेट।
मेजबान वातावरण से अलगाव में इसे शुरू करने के लिए पटाखा प्रक्रिया की स्टेटिक लिंकिंग।

पटाखा डेमो

AWS ब्लॉग ने दिखाया कि आप कैसे कार्रवाई में microVMs की कोशिश कर सकते हैं। ऐसा करने के लिए, बस एक i3.metal उदाहरण बनाएं और इसमें 3 फाइलें अपलोड करें ( firecracker निष्पादन योग्य फ़ाइल, रूट FS छवि, लिनक्स कर्नेल):

उसके बाद - / देव / kvm के लिए आवश्यक अधिकार निर्धारित करें:

 $ sudo setfacl -mu:${USER}:rw /dev/kvm

पहले अतिथि मशीन के लिए कॉन्फ़िगरेशन सेट करें:

 $ curl --unix-socket /tmp/firecracker.sock -i \ -X PUT "http://localhost/machine-config" \ -H "accept: application/json" \ -H "Content-Type: application/json" \ -d "{ \"vcpu_count\": 1, \"mem_size_mib\": 512 }"

... तो उसके लिए मूल:

 $ curl --unix-socket /tmp/firecracker.sock -i \ -X PUT "http://localhost/boot-source" \ -H "accept: application/json" \ -H "Content-Type: application/json" \ -d "{ \"kernel_image_path\": \"./hello-vmlinux.bin\", \"boot_args\": \"console=ttyS0 reboot=k panic=1 pci=off\" }"

... और रूट FS:

 $ curl --unix-socket /tmp/firecracker.sock -i \ -X PUT "http://localhost/drives/rootfs" \ -H "accept: application/json" \ -H "Content-Type: application/json" \ -d "{ \"drive_id\": \"rootfs\", \"path_on_host\": \"./hello-rootfs.ext4\", \"is_root_device\": true, \"is_read_only\": false }"

यह वास्तव में अतिथि को लॉन्च करने के लिए बना हुआ है:

 # curl --unix-socket /tmp/firecracker.sock -i \ -X PUT "http://localhost/actions" \ -H "accept: application/json" \ -H "Content-Type: application/json" \ -d "{ \"action_type\": \"InstanceStart\" }"

परिणाम:

अन्य कंटेनर परियोजनाओं के बारे में क्या?

यद्यपि पटाखे के लेखक अपने लोकप्रिय कंटेनर रनटाइम के साथ "एकीकरण" का वादा करते हैं, लेकिन जब यह पूछा जाता है कि क्या यह परियोजना कुबेरनेट्स, डोकर या काटा कंटेनरों के साथ इस्तेमाल की जा सकती है:

“अभी तक नहीं। हम पटाखे को एक ओपन सोर्स प्रोजेक्ट के रूप में विकसित कर रहे हैं क्योंकि यह कंटेनरों को लॉन्च करने में सुरक्षा के लिए काफी अलग दृष्टिकोण प्रदान करता है। हमें उम्मीद है कि कंटेनरों के लिए ओपन सोर्स तकनीक बनाने वाले अन्य समुदाय इसे उपयोगी पाएंगे। "हम यह सुनिश्चित करने के लिए काम कर रहे हैं कि भविष्य में निर्बाध एकीकरण के लक्ष्य के साथ - पटाखे कंटेनर पारिस्थितिकी तंत्र में समेकित रूप से एकीकृत हो। कंटेनर वर्कलोड को अलग करने के लिए और अधिक विकल्प प्रदान करें।"

पुनश्च

हमारे ब्लॉग में भी पढ़ें: