早先在于2014年就發布無服務器應用Lambda的雲計算龍頭AWS,在2017年時進一步結合容器,發布無服務器容器部署服務AWS Fargate,此托管服務與EC2相當類似,不過EC2提供的是虛拟機。而近期AWS用戶大會上,該公司更進一步開源發布用于無服務器場景的輕量虛拟化技術Firecracker。
AWS使用開源的KVM虛拟化技術為基礎,并且使用Rust語言,開發了此虛拟化項目Firecracker。該公司表示,每一台使用Firecracker打開的虛拟機,隻需要耗費5MiB的內存,在單一實例上,可以打開數千台虛拟機。通過此輕量虛拟化技術,用戶可以在非虛拟化環境中,打開輕量級虛拟機(microVMs),同時保有虛拟機的隔離性、容器快速打開的特性。據AWS測試,打開一個輕量級虛拟機,所需時間隻要125ms,“現在也已經用于AWS Labmda及AWS Fargate。”
而AWS特别強調Firecracker的特色,便是其安全性。在其構架中,AWS除了減少其攻擊表面,也導入了多個系統隔離機制,改善Firecracker的安全性。首先,大幅閹割訪客模式的操作權限,以該身份登錄Firecracker虛拟機的用戶,能操作的幅度相當有限,借以降低虛拟機的攻擊表面。第二個機制是結合Linux内置的安全機制如cgroups、Seccomp BPF,讓用戶隻能訪問部分受控的系統調用。最後,Firecracker内執行的系統程序,采用靜态鍊接(Static Linking),并且在隔離環境内執行,借此保障Host環境的安全。
,更多精彩资讯请关注tft每日頭條,我们将持续为您更新最新资讯!