2023 年 11 月 17 日，Kata Containers 上游社區(qū)正式接納 StratoVirt 作為原生支持的 VMM(Virtual Machine Manager) 之一，相關(guān) API 已完成適配，StratoVirt 的容器生態(tài)得到進一步拓展。合入 Kata 上游社區(qū)簡化了合作伙伴在安全容器場景下使用 StratoVirt 的流程，用戶可以更方便地部署和使用 StratoVirt。

圖1 StratoVirt PR 已合入 Kata 社區(qū)

關(guān)于Kata Containers

安全容器是一種運行時技術(shù)。相對于普通容器，安全容器可以為容器應(yīng)用提供一個完整的操作系統(tǒng)執(zhí)行環(huán)境，將應(yīng)用的執(zhí)行與宿主機操作系統(tǒng)隔離開，避免應(yīng)用直接訪問宿主機資源，從而可以在容器主機之間或容器之間提供額外的保護。此外，安全容器的隔離層也可以提供性能、調(diào)度、管理等方面的隔離。

Kata Containers 是一個安全容器開源項目[1]，可無縫接入 Kubernetes 等云原生生態(tài)系統(tǒng)，依靠輕量虛擬機提供的強隔離能力，為上層業(yè)務(wù)提供更加安全的運行環(huán)境、以及接近原生 Linux 容器的體驗。目前，Kata 安全容器支持的 VM 包括 Qemu、Cloud Hypervisor、Firecracker、StratoVirt 等，在強監(jiān)管業(yè)務(wù)、公有云和私有云、容器服務(wù)與邊緣計算等場景中有著廣泛應(yīng)用。

圖2 Kata 架構(gòu)以及 StratoVirt 在其中的位置

關(guān)于StratoVirt

StratoVirt 作為 openEuler 社區(qū)的一個虛擬化開源項目[2]，是計算產(chǎn)業(yè)中面向云數(shù)據(jù)中心的企業(yè)級虛擬化 VMM，實現(xiàn)了一套架構(gòu)統(tǒng)一支持虛擬機、容器、Serverless 三種場景。StratoVirt 提供了 openEuler 的虛擬化底座，具有強安全性與隔離性、輕量低噪、高速穩(wěn)定 IO 能力、資源伸縮靈活、全場景支持、可擴展性強等關(guān)鍵技術(shù)競爭優(yōu)勢。

目前，StratoVirt 正持續(xù)增強通用虛擬化和桌面虛擬化場景能力，構(gòu)建下一代全場景虛擬化關(guān)鍵技術(shù)。目前，StratoVirt 已經(jīng)在 Kata 上游社區(qū)中實現(xiàn)了基于 StratoVirt 2.3.0 版本的輕量化虛擬機適配，滿足各項基礎(chǔ)功能的運行，并在啟動速度和內(nèi)存底噪方面具有一定的性能優(yōu)勢，性能對比測試結(jié)果如下。

圖3 不同 VMM 下單個 Kata 安全容器的性能對比測試

上述測試環(huán)境為：

Host 操作系統(tǒng): openEuler 20.03 LTS SP1，Linux Kernel 4.19.90。

虛擬機：VMM、kernel、rootfs 采用 kata 社區(qū) v3.2.0 release package，rootfs 以 kata-agent 作為 GuestOS init 進程；虛擬機配置 1U2G。

StratoVirt 采用 v2.3.0 版本 microVM，kernel 采用 vmlinux 格式 objcopy 后得到的 vmlinux.bin。

容器：鏡像采用docker.io/library/busybox:latest。

未來，StratoVirt 將與 Kata 社區(qū)持續(xù)合作，在 Kata 社區(qū)中完善包括標準虛機在內(nèi)的多項功能集成，保證 StratoVirt 在 Kata 社區(qū)最新版本的持續(xù)可用。同時，StratoVirt 將繼續(xù)深入容器生態(tài)創(chuàng)新，加速行業(yè)應(yīng)用，為用戶和合作伙伴提供更高性能更好質(zhì)量的虛擬化能力。

審核編輯：黃飛