firecracker

Nuestra misión es posibilitar la ejecución segura y multiinquilino de cargas de trabajo de contenedores y funciones con una sobrecarga mínima.

Lee más sobre la Carta de Firecracker aquí.

¿Qué es Firecracker?

Firecracker es una tecnología de virtualización de código abierto diseñada específicamente para crear y gestionar servicios seguros y multiinquilino basados en contenedores y funciones que proporcionan modelos operativos serverless. Firecracker ejecuta cargas de trabajo en máquinas virtuales ligeras, llamadas microVMs, que combinan las propiedades de seguridad y aislamiento que ofrece la tecnología de virtualización por hardware con la velocidad y la flexibilidad de los contenedores.

Resumen

El componente principal de Firecracker es un monitor de máquinas virtuales (VMM) que utiliza la Máquina Virtual del Kernel de Linux (KVM) para crear y ejecutar microVMs. Firecracker tiene un diseño minimalista. Excluye dispositivos innecesarios y funcionalidad orientada al huésped para reducir la huella de memoria y la superficie de ataque de cada microVM. Esto mejora la seguridad, disminuye el tiempo de arranque y aumenta la utilización del hardware. Firecracker también se ha integrado en runtimes de contenedores, por ejemplo Kata Containers y Flintlock.

Firecracker fue desarrollado en Amazon Web Services para acelerar la velocidad y la eficiencia de servicios como AWS Lambda y AWS Fargate. Firecracker es de código abierto bajo la versión 2.0 de Apache.

Para saber más sobre Firecracker, visita firecracker-microvm.io.

Primeros pasos

Para empezar con Firecracker, descarga los binarios de la última versión o compílalo desde el código fuente.

Puedes compilar Firecracker en cualquier sistema Unix/Linux que tenga Docker en ejecución (usamos un contenedor de desarrollo) y bash instalado, de la siguiente manera:

git clone https://github.com/firecracker-microvm/firecracker
cd firecracker
tools/devtool build
toolchain="$(uname -m)-unknown-linux-musl"

El binario de Firecracker se ubicará en build/cargo_target/${toolchain}/debug/firecracker. Para obtener más información sobre cómo compilar, probar y ejecutar Firecracker, consulta la guía de inicio rápido.

La seguridad general de las microVMs de Firecracker, incluida la capacidad de cumplir los criterios para un cómputo multiinquilino seguro, depende de un sistema operativo host Linux bien configurado. En el documento de configuración del host de producción se incluye una configuración que creemos que cumple este estándar.

Contribuciones

Firecracker ya ejecuta cargas de trabajo de producción en AWS, pero todavía estamos en el Día 1 del camino guiado por nuestra misión. Queda mucho por construir y damos la bienvenida a todas las contribuciones.

Para contribuir a Firecracker, consulta la sección de configuración de desarrollo en la guía de inicio rápido y luego las pautas de contribución de Firecracker.

Lanzamientos

Las nuevas versiones de Firecracker se publican a través de la página de versiones del repositorio de GitHub, normalmente cada dos o tres meses. El historial de cambios se registra en nuestro changelog.

La política de versiones de Firecracker se detalla aquí.

Diseño

La arquitectura general de Firecracker se describe en el documento de diseño.

Funciones y capacidades

Firecracker consiste en un único proceso de micro Gestor de Máquinas Virtuales que expone un endpoint de API al host una vez iniciado. La API está especificada en formato OpenAPI. Lee más sobre ella en la documentación de la API.

El endpoint de API se puede utilizar para:

• Configurar la microvm:
  • Estableciendo el número de vCPUs (el valor predeterminado es 1).
  • Estableciendo el tamaño de la memoria (el valor predeterminado es 128 MiB).
  • Configurando una plantilla de CPU.
• Añadir una o más interfaces de red a la microVM.
• Añadir uno o más discos de lectura-escritura o de solo lectura a la microVM, cada uno representado por un dispositivo de bloques respaldado por un archivo.
• Activar un reescaneo del dispositivo de bloques mientras el huésped está en ejecución. Esto permite que el sistema operativo huésped detecte los cambios de tamaño en el archivo de respaldo del dispositivo de bloques.
• Cambiar el archivo de respaldo de un dispositivo de bloques, antes o después de que arranque el huésped.
• Configurar limitadores de velocidad para dispositivos virtio que pueden limitar el ancho de banda, las operaciones por segundo, o ambos.
• Configurar el sistema de registro y métricas.
• [BETA] Configurar el árbol de datos del servicio de metadatos orientado al huésped. El servicio solo está disponible para el huésped si este recurso está configurado.
• Añadir un socket vsock a la microVM.
• Añadir un dispositivo de entropía a la microVM.
• Añadir un dispositivo pmem a la microVM.
• Configurar y gestionar el hotplug de memoria.
• [Developer Preview] Conexión y desconexión en caliente de dispositivos virtio PCI mientras la VM está en ejecución.
• Iniciar la microVM utilizando una imagen de kernel determinada, un sistema de archivos raíz y argumentos de arranque.
• [solo x86_64] Detener la microVM.

Capacidades integradas:

• Paginación bajo demanda y sobresuscripción de CPU habilitadas de forma predeterminada.
• Filtros seccomp avanzados y específicos por hilo para una seguridad mejorada.
• Proceso Jailer para iniciar Firecracker en escenarios de producción; aplica una barrera de aislamiento de cgroup/namespace y luego elimina los privilegios.

Plataformas probadas

Probamos todas las combinaciones de:

*: Solo admitimos instancias AWS EC2 Intel de 8.ª generación (*8i) que utilicen un kernel de host 6.1 o 6.18. Esto se debe a la escasa compatibilidad del kernel con las CPU Granite Rapids en 5.10.

Problemas conocidos y limitaciones

• El dispositivo RTC pl031 en aarch64 no admite interrupciones, por lo que los programas huésped que utilizan una alarma RTC (por ejemplo, hwclock) no funcionarán.

Rendimiento

Las características de rendimiento de Firecracker se enumeran como parte de la documentación de especificaciones. Todas las especificaciones son parte de nuestro compromiso de admitir cargas de trabajo de contenedores y funciones en modelos operativos serverless y, por lo tanto, se aplican mediante pruebas de integración continua.

Política de divulgación de seguridad

La seguridad de Firecracker es nuestra máxima prioridad. Si sospechas que has descubierto una vulnerabilidad, contáctanos de forma privada, como se indica en nuestro documento de política de seguridad; priorizaremos de inmediato tu divulgación.

Preguntas frecuentes y contacto

Las preguntas frecuentes se recopilan en nuestro documento de preguntas frecuentes.

Puedes ponerte en contacto con la comunidad de Firecracker de las siguientes maneras:

• Problemas relacionados con la seguridad, consulta nuestro documento de política de seguridad.
• Chatea con nosotros en nuestro espacio de trabajo de Slack Nota: la mayoría de los mantenedores están en una zona horaria europea.
• Abre un issue de GitHub en este repositorio.
• Envía un correo electrónico a los mantenedores a [email protected].

Cuando te comuniques dentro de la comunidad de Firecracker, ten en cuenta nuestro código de conducta.