firecracker

Unsere Mission ist es, die sichere, mandantenfähige Ausführung von Container- und Funktions-Workloads mit minimalem Overhead zu ermöglichen.

Erfahren Sie hier mehr über die Firecracker-Charter.

Was ist Firecracker?

Firecracker ist eine Open-Source-Virtualisierungstechnologie, die speziell für die Erstellung und Verwaltung sicherer, mandantenfähiger Container- und funktionsbasierter Dienste entwickelt wurde, die serverlose Betriebsmodelle bereitstellen. Firecracker führt Workloads in leichtgewichtigen virtuellen Maschinen aus, den sogenannten microVMs, die die Sicherheits- und Isolationseigenschaften der Hardware-Virtualisierungstechnologie mit der Geschwindigkeit und Flexibilität von Containern kombinieren.

Überblick

Die Hauptkomponente von Firecracker ist ein Virtual Machine Monitor (VMM), der die Linux Kernel Virtual Machine (KVM) nutzt, um microVMs zu erstellen und auszuführen. Firecracker hat ein minimalistisches Design. Es verzichtet auf unnötige Geräte und gastseitige Funktionen, um den Speicherbedarf und die Angriffsfläche jeder microVM zu reduzieren. Dies verbessert die Sicherheit, verkürzt die Startzeit und erhöht die Hardware-Auslastung. Firecracker wurde außerdem in Container-Runtimes integriert, beispielsweise in Kata Containers und Flintlock.

Firecracker wurde bei Amazon Web Services entwickelt, um die Geschwindigkeit und Effizienz von Diensten wie AWS Lambda und AWS Fargate zu steigern. Firecracker ist unter Apache Version 2.0 als Open Source lizenziert.

Weitere Informationen über Firecracker finden Sie auf firecracker-microvm.io.

Erste Schritte

Um mit Firecracker zu beginnen, laden Sie die neuesten Release-Binärdateien herunter oder bauen Sie es aus dem Quellcode.

Sie können Firecracker auf jedem Unix/Linux-System bauen, auf dem Docker läuft (wir verwenden einen Entwicklungscontainer) und bash installiert ist, wie folgt:

git clone https://github.com/firecracker-microvm/firecracker
cd firecracker
tools/devtool build
toolchain="$(uname -m)-unknown-linux-musl"

Die Firecracker-Binärdatei wird unter build/cargo_target/${toolchain}/debug/firecracker abgelegt. Weitere Informationen zum Bauen, Testen und Ausführen von Firecracker finden Sie in der Schnellstart-Anleitung.

Die allgemeine Sicherheit von Firecracker-microVMs, einschließlich der Fähigkeit, die Kriterien für sicheres Multi-Tenant-Computing zu erfüllen, hängt von einem gut konfigurierten Linux-Host-Betriebssystem ab. Eine Konfiguration, von der wir glauben, dass sie diese Anforderungen erfüllt, ist im Dokument zur Einrichtung von Produktions-Hosts enthalten.

Mitwirken

Firecracker läuft bereits mit Produktions-Workloads bei AWS, aber auf der Reise, die von unserer Mission geleitet wird, sind wir immer noch an Tag 1. Es gibt noch viel zu bauen, und wir begrüßen alle Beiträge.

Um zu Firecracker beizutragen, sehen Sie sich den Abschnitt zur Entwicklungseinrichtung in der Erste-Schritte-Anleitung und anschließend die Firecracker-Beitragsrichtlinien an.

Releases

Neue Firecracker-Versionen werden über die Release-Seite des GitHub-Repositorys veröffentlicht, in der Regel alle zwei oder drei Monate. Eine Historie der Änderungen ist in unserem Changelog festgehalten.

Die Firecracker-Release-Richtlinie wird hier im Detail beschrieben.

Design

Die Gesamtarchitektur von Firecracker ist im Design-Dokument beschrieben.

Funktionen & Fähigkeiten

Firecracker besteht aus einem einzigen micro-Virtual-Machine-Manager-Prozess, der nach dem Start einen API-Endpunkt für den Host bereitstellt. Die API ist im OpenAPI-Format spezifiziert. Weitere Informationen finden Sie in der API-Dokumentation.

Der API-Endpunkt kann verwendet werden, um:

• die microVM zu konfigurieren, indem Sie:
  • die Anzahl der vCPUs festlegen (Standard ist 1).
  • die Speichergröße festlegen (Standard ist 128 MiB).
  • eine CPU-Vorlage konfigurieren.
• eine oder mehrere Netzwerkschnittstellen zur microVM hinzuzufügen.
• einen oder mehrere beschreibbare oder schreibgeschützte Datenträger zur microVM hinzuzufügen, die jeweils durch ein dateibasiertes Blockgerät repräsentiert werden.
• einen erneuten Scan eines Blockgeräts auszulösen, während der Gast läuft. Dies ermöglicht es dem Gast-Betriebssystem, Größenänderungen an der Backing-Datei des Blockgeräts zu übernehmen.
• die Backing-Datei für ein Blockgerät vor oder nach dem Booten des Gasts zu ändern.
• Ratenbegrenzer für Virtio-Geräte zu konfigurieren, die die Bandbreite, die Operationen pro Sekunde oder beides begrenzen können.
• das Protokollierungs- und Metriksystem zu konfigurieren.
• [BETA] den Datenbaum des gastseitigen Metadaten-Dienstes zu konfigurieren. Der Dienst ist für den Gast nur verfügbar, wenn diese Ressource konfiguriert ist.
• einen vsock-Socket zur microVM hinzuzufügen.
• ein Entropiegerät zur microVM hinzuzufügen.
• ein pmem-Gerät zur microVM hinzuzufügen.
• Memory-Hotplugging zu konfigurieren und zu verwalten.
• [Developer Preview] Hot-plug und Hot-unplug von Virtio-PCI-Geräten bei laufender VM durchzuführen.
• die microVM mit einem bestimmten Kernel-Image, Root-Dateisystem und Boot-Argumenten zu starten.
• [nur x86_64] die microVM zu stoppen.

Integrierte Funktionen:

• Demand-Fault-Paging und CPU-Überzeichnung standardmäßig aktiviert.
• Erweiterte, threadspezifische Seccomp-Filter für erhöhte Sicherheit.
• Jailer-Prozess zum Starten von Firecracker in Produktionsszenarien; er wendet eine cgroup/Namespace-Isolationsbarriere an und gibt anschließend Privilegien auf.

Getestete Plattformen

Wir testen alle Kombinationen aus:

*: Wir unterstützen nur AWS-EC2-Instanzen der 8. Intel-Generation (*8i) mit einem 6.1- oder 6.18-Host-Kernel. Dies ist auf die schlechte Kernel-Unterstützung für Granite-Rapids-CPUs unter 5.10 zurückzuführen.

Bekannte Probleme und Einschränkungen

Das pl031-RTC-Gerät auf aarch64 unterstützt keine Interrupts, daher funktionieren Gastprogramme, die einen RTC-Alarm verwenden (z. B. hwclock), nicht.

Leistung

Die Leistungsmerkmale von Firecracker sind in der Spezifikationsdokumentation aufgeführt. Alle Spezifikationen sind Teil unseres Engagements für die Unterstützung von Container- und Funktions-Workloads in serverlosen Betriebsmodellen und werden daher durch Continuous-Integration-Tests durchgesetzt.

Richtlinie für Sicherheitsmeldungen

Die Sicherheit von Firecracker hat für uns höchste Priorität. Wenn Sie vermuten, eine Sicherheitslücke gefunden zu haben, kontaktieren Sie uns privat, wie in unserem Sicherheitsrichtlinien-Dokument beschrieben; wir werden Ihre Meldung umgehend priorisieren.

FAQ & Kontakt

Häufig gestellte Fragen sind in unserem FAQ-Dokument zusammengefasst.

Sie können die Firecracker-Community auf folgende Weise erreichen:

• Sicherheitsbezogene Probleme finden Sie in unserem Sicherheitsrichtlinien-Dokument.
• Chatten Sie mit uns in unserem Slack-Workspace. Hinweis: Die meisten Maintainer befinden sich in einer europäischen Zeitzone.
• Eröffnen Sie ein GitHub-Issue in diesem Repository.
• Senden Sie den Maintainern eine E-Mail an [email protected].

Bei der Kommunikation innerhalb der Firecracker-Community beachten Sie bitte unseren Verhaltenskodex.