😈 Как сделать контейнеры еще более изолированными: обзор контейнерных sandbox-технологий

Сегодня рассмотрим несколько решений, цель которых — помочь с проблемой слабой изоляции современных контейнерных технологий

1. IBM Nabla — это решение на основе unikernel, которое упаковывает приложения в специализированную виртуальную машину.

2. Google gVisor — это объединение специализированного ядра гипервизора и гостевой ОС, которое сильный уровень изоляции между запущенными приложениями и операционной системой хоста.

3. Amazon Firecracker — это технология виртуализации с открытым исходным кодом, специально разработанная для создания и управления безопасными, многопользовательскими контейнерами и функциональными службами, которые обеспечивают бессерверные операционные модели и предоставляют каждой гостевой ОС минимальный набор аппаратных и ядерных ресурсов

4. OpenStack Kata — это высокооптимизированная виртуальная машина со встроенным контейнерным движком, которая может работать на различных гипервизорах

☝️Таблица сверху проводит параллельное сравнение некоторых важных функций всех четырех проектов:
— Nabla будет лучшим выбором, если у вас есть приложения, работающие в unikernel-системах, таких как MirageOS или IncludeOS
— gVisor сейчас лучше всего интегрируется с Docker и Kubernetes, но из-за неполного покрытия системных вызовов некоторые приложения с ним несовместимы
— Firecracker поддерживает настраиваемые образы гостевой ОС и это хороший выбор, если ваши приложения должны запускаться в настроенной виртуальной машине
— Контейнеры Kata полностью соответствуют стандарту OCI и могут работать как на KVM, так и на гипервизоре Xen. Это может упростить развертывание микросервисов на гибридных платформах

🗣 Ссылка на чтиво

#Docker #Tools #DevOps #Containers | 🧑‍💻 Этичный хакер