firecracker

Notre mission est de permettre l'exécution sécurisée, multi-locataire et à surcharge minimale de charges de travail de conteneurs et de fonctions.

Lisez-en plus sur la charte Firecracker ici.

Qu'est-ce que Firecracker ?

Firecracker est une technologie de virtualisation open source conçue spécifiquement pour créer et gérer des services sécurisés, multi-locataires, basés sur des conteneurs et des fonctions, qui fournissent des modèles opérationnels serverless. Firecracker exécute des charges de travail dans des machines virtuelles légères, appelées microVM, qui combinent les propriétés de sécurité et d'isolation offertes par la technologie de virtualisation matérielle avec la rapidité et la flexibilité des conteneurs.

Vue d'ensemble

Le composant principal de Firecracker est un moniteur de machine virtuelle (VMM) qui utilise la machine virtuelle du noyau Linux (KVM) pour créer et exécuter des microVM. Firecracker a une conception minimaliste. Il exclut les périphériques inutiles et les fonctionnalités orientées vers l'invité afin de réduire l'empreinte mémoire et la surface d'attaque de chaque microVM. Cela améliore la sécurité, réduit le temps de démarrage et augmente l'utilisation du matériel. Firecracker a également été intégré à des environnements d'exécution de conteneurs, par exemple Kata Containers et Flintlock.

Firecracker a été développé chez Amazon Web Services pour accélérer la vitesse et l'efficacité de services comme AWS Lambda et AWS Fargate. Firecracker est publié en open source sous licence Apache version 2.0.

Pour en savoir plus sur Firecracker, consultez firecracker-microvm.io.

Pour commencer

Pour commencer avec Firecracker, téléchargez les binaires de la dernière version ou compilez-le à partir des sources.

Vous pouvez compiler Firecracker sur tout système Unix/Linux disposant de Docker en cours d'exécution (nous utilisons un conteneur de développement) et de bash installé, comme suit :

git clone https://github.com/firecracker-microvm/firecracker
cd firecracker
tools/devtool build
toolchain="$(uname -m)-unknown-linux-musl"

Le binaire Firecracker sera placé dans build/cargo_target/${toolchain}/debug/firecracker. Pour plus d'informations sur la compilation, les tests et l'exécution de Firecracker, consultez le guide de démarrage rapide.

La sécurité globale des microVM Firecracker, y compris la capacité à satisfaire aux critères d'un calcul multi-locataire sûr, dépend d'un système d'exploitation hôte Linux bien configuré. Une configuration que nous estimons répondre à ces critères est incluse dans le document de configuration de l'hôte de production.

Contribuer

Firecracker fait déjà tourner des charges de travail de production au sein d'AWS, mais nous n'en sommes encore qu'au premier jour du parcours guidé par notre mission. Il reste encore beaucoup à construire et nous accueillons toutes les contributions.

Pour contribuer à Firecracker, consultez la section sur la configuration de développement dans le guide de démarrage, puis les directives de contribution de Firecracker.

Versions

De nouvelles versions de Firecracker sont publiées via la page des versions du dépôt GitHub, généralement toutes les deux ou trois mois. L'historique des modifications est consigné dans notre journal des changements.

La politique de publication de Firecracker est détaillée ici.

Conception

L'architecture globale de Firecracker est décrite dans le document de conception.

Fonctionnalités et capacités

Firecracker se compose d'un processus unique de gestionnaire de micro machine virtuelle qui expose un point de terminaison API à l'hôte une fois démarré. L'API est spécifiée au format OpenAPI. Pour en savoir plus, consultez la documentation de l'API.

Le point de terminaison API peut être utilisé pour :

• Configurer la microVM en :
  • Définissant le nombre de vCPU (la valeur par défaut est 1).
  • Définissant la taille de la mémoire (la valeur par défaut est 128 MiB).
  • Configurant un modèle de CPU.
• Ajouter une ou plusieurs interfaces réseau à la microVM.
• Ajouter un ou plusieurs disques en lecture-écriture ou en lecture seule à la microVM, chacun représenté par un périphérique de bloc adossé à un fichier.
• Déclencher une nouvelle analyse d'un périphérique de bloc pendant que l'invité est en cours d'exécution. Cela permet au système d'exploitation invité de détecter les changements de taille du fichier sous-jacent du périphérique de bloc.
• Changer le fichier sous-jacent d'un périphérique de bloc, avant ou après le démarrage de l'invité.
• Configurer des limiteurs de débit pour les périphériques virtio, qui peuvent limiter la bande passante, les opérations par seconde, ou les deux.
• Configurer le système de journalisation et de métriques.
• [BETA] Configurer l'arborescence de données du service de métadonnées orienté vers l'invité. Le service n'est disponible pour l'invité que si cette ressource est configurée.
• Ajouter une socket vsock à la microVM.
• Ajouter un périphérique d'entropie à la microVM.
• Ajouter un périphérique pmem à la microVM.
• Configurer et gérer le branchement à chaud de la mémoire.
• [Developer Preview] Brancher et débrancher à chaud des périphériques PCI virtio pendant que la VM est en cours d'exécution.
• Démarrer la microVM à l'aide d'une image de noyau, d'un système de fichiers racine et d'arguments de démarrage donnés.
• [x86_64 uniquement] Arrêter la microVM.

Capacités intégrées :

• Pagination à la demande et surallocation de CPU activées par défaut.
• Filtres seccomp avancés, spécifiques aux threads, pour une sécurité renforcée.
• Processus Jailer pour démarrer Firecracker dans des scénarios de production ; applique une barrière d'isolation cgroup/namespace puis abandonne les privilèges.

Plateformes testées

Nous testons toutes les combinaisons de :

* : Nous ne prenons en charge que les instances AWS EC2 Intel de 8e génération (*8i) utilisant un noyau hôte 6.1 ou 6.18. Cela est dû à la mauvaise prise en charge des CPU Granite Rapids par le noyau 5.10.

Problèmes connus et limitations

• Le périphérique RTC pl031 sur aarch64 ne prend pas en charge les interruptions, donc les programmes invités qui utilisent une alarme RTC (par exemple hwclock) ne fonctionneront pas.

Performances

Les caractéristiques de performance de Firecracker sont répertoriées dans la documentation de spécification. Toutes les spécifications font partie de notre engagement à prendre en charge les charges de travail de conteneurs et de fonctions dans des modèles opérationnels serverless, et sont donc appliquées via des tests d'intégration continue.

Politique de divulgation des failles de sécurité

La sécurité de Firecracker est notre priorité absolue. Si vous pensez avoir découvert une vulnérabilité, contactez-nous en privé, comme indiqué dans notre document de politique de sécurité ; nous accorderons immédiatement la priorité à votre divulgation.

FAQ et contact

Les questions fréquemment posées sont rassemblées dans notre document FAQ.

Vous pouvez entrer en contact avec la communauté Firecracker de la manière suivante :

• Pour les problèmes liés à la sécurité, consultez notre document de politique de sécurité.
• Discutez avec nous sur notre espace Slack Remarque : la plupart des mainteneurs sont dans un fuseau horaire européen.
• Ouvrez un problème GitHub dans ce dépôt.
• Envoyez un courriel aux mainteneurs à l'adresse [email protected].

Lorsque vous communiquez au sein de la communauté Firecracker, veuillez respecter notre code de conduite.