firecracker

私たちのミッションは、コンテナおよび関数ワークロードの、セキュアでマルチテナントかつ最小限のオーバーヘッドでの実行を可能にすることです。

Firecracker 憲章の詳細はこちらをご覧ください。

Firecracker とは？

Firecracker は、サーバーレスの運用モデルを提供する、セキュアでマルチテナントなコンテナおよび関数ベースのサービスを作成・管理するために特化して作られたオープンソースの仮想化技術です。Firecracker は、microVM と呼ばれる軽量な仮想マシン内でワークロードを実行します。microVM は、ハードウェア仮想化技術が提供するセキュリティと分離の特性と、コンテナの速度と柔軟性を兼ね備えています。

概要

Firecracker の主要コンポーネントは、Linux Kernel Virtual Machine (KVM) を使用して microVM を作成および実行する仮想マシンモニター (VMM) です。Firecracker はミニマリストな設計を採用しており、各 microVM のメモリフットプリントと攻撃面を削減するために、不要なデバイスやゲスト向け機能を排除しています。これにより、セキュリティが向上し、起動時間が短縮され、ハードウェア利用率が向上します。Firecracker はコンテナランタイムにも統合されています。例えば、Kata Containers や Flintlock などです。

Firecracker は、AWS Lambda や AWS Fargate のようなサービスの速度と効率を向上させるために、Amazon Web Services で開発されました。Firecracker は Apache バージョン 2.0 のもとでオープンソース化されています。

Firecracker の詳細については、firecracker-microvm.io をご覧ください。

はじめに

Firecracker を使い始めるには、最新のリリースバイナリをダウンロードするか、ソースからビルドしてください。

Firecracker は、Docker (開発コンテナを使用) と bash がインストールされている任意の Unix/Linux システムで、次のようにビルドできます:

git clone https://github.com/firecracker-microvm/firecracker
cd firecracker
tools/devtool build
toolchain="$(uname -m)-unknown-linux-musl"

Firecracker バイナリは build/cargo_target/${toolchain}/debug/firecracker に配置されます。Firecracker のビルド、テスト、実行の詳細については、クイックスタートガイド をご覧ください。

Firecracker microVM の全体的なセキュリティは、安全なマルチテナントコンピューティングの基準を満たす能力を含め、適切に構成された Linux ホストオペレーティングシステムに依存します。この基準を満たすと考えられる構成は、プロダクションホスト構築ドキュメント に含まれています。

コントリビューション

Firecracker は AWS 内ですでに本番ワークロードを実行していますが、私たちのミッションに導かれた旅はまだ Day 1 です。構築すべきことはまだまだたくさんあり、すべてのコントリビューションを歓迎します。

Firecracker にコントリビューションするには、はじめにガイド の開発環境のセクションを確認し、次に Firecracker のコントリビューションガイドラインを確認してください。

リリース

新しい Firecracker バージョンは、通常 2〜3 ヶ月ごとに GitHub リポジトリのリリースページからリリースされます。変更履歴はチェンジログに記録されています。

Firecracker のリリースポリシーの詳細はこちらに記載されています。

設計

Firecracker の全体的なアーキテクチャは設計ドキュメントに記載されています。

機能と能力

Firecracker は、起動するとホストに API エンドポイントを公開する単一のマイクロ仮想マシンマネージャプロセスで構成されています。API は OpenAPI 形式で仕様化されています。詳細は API ドキュメント をご覧ください。

API エンドポイントは以下に使用できます:

• microvm を次のように構成する:
  • vCPU の数を設定する (デフォルトは 1)。
  • メモリサイズを設定する (デフォルトは 128 MiB)。
  • CPU テンプレートを構成する。
• microVM に 1 つ以上のネットワークインターフェースを追加する。
• microVM に 1 つ以上の読み書き可能または読み取り専用ディスクを追加する。各ディスクはファイルバックのブロックデバイスとして表されます。
• ゲストの実行中にブロックデバイスの再スキャンをトリガーする。これにより、ゲスト OS はブロックデバイスのバッキングファイルのサイズ変更を認識できます。
• ゲストの起動前または起動後に、ブロックデバイスのバッキングファイルを変更する。
• 帯域幅、1 秒あたりの操作数、またはその両方を制限できる virtio デバイスのレートリミッターを構成する。
• ロギングおよびメトリクスシステムを構成する。
• [BETA] ゲスト向けメタデータサービスのデータツリーを構成する。このサービスは、このリソースが構成されている場合にのみゲストが利用できます。
• microVM に vsock ソケットを追加する。
• microVM にエントロピーデバイスを追加する。
• microVM に pmem デバイスを追加する。
• メモリホットプラグを構成および管理する。
• [Developer Preview] VM の実行中に virtio PCI デバイスをホットプラグおよびホットアンプラグする。
• 指定されたカーネルイメージ、ルートファイルシステム、および起動引数を使用して microVM を起動する。
• [x86_64 のみ] microVM を停止する。

組み込み機能:

• デマンドフォールトページングと CPU オーバーサブスクリプションがデフォルトで有効。
• セキュリティを強化するための、高度なスレッド固有の seccomp フィルター。
• 本番シナリオで Firecracker を起動するための Jailer プロセス。cgroup/namespace 分離バリアを適用した後、権限をドロップします。

テスト済みプラットフォーム

以下のすべての組み合わせをテストしています:

*: AWS EC2 第 8 世代 Intel (*8i) インスタンスは、6.1 または 6.18 ホストカーネルを使用する場合にのみサポートしています。これは、Granite Rapids CPU の 5.10 におけるカーネルサポートが不十分なためです。

既知の問題と制限事項

• aarch64 の pl031 RTC デバイスは割り込みをサポートしていないため、RTC アラームを使用するゲストプログラム (例: hwclock) は動作しません。

パフォーマンス

Firecracker のパフォーマンス特性は、仕様ドキュメント の一部として記載されています。すべての仕様は、サーバーレス運用モデルにおけるコンテナおよび関数ワークロードのサポートに対するコミットメントの一部であり、継続的インテグレーションテストを通じて検証されています。

セキュリティ開示ポリシー

Firecracker のセキュリティは最優先事項です。脆弱性を発見したと思われる場合は、セキュリティポリシードキュメント に記載されているように、プライベートにご連絡ください。開示内容を直ちに優先して対応します。

FAQ と連絡先

よくある質問は FAQ ドキュメント にまとめられています。

Firecracker コミュニティには次の方法で連絡できます:

• セキュリティ関連の問題については、セキュリティポリシードキュメント をご覧ください。
• Slack ワークスペースでチャットする。注: ほとんどのメンテナはヨーロッパのタイムゾーンにいます。
• このリポジトリで GitHub イシューを開く。
• [email protected] にメールで連絡する。

Firecracker コミュニティ内でコミュニケーションする際は、行動規範 にご注意ください。