Firecracker란 무엇인가?

Firecracker는 서버리스 운영 모델을 제공하는 안전한 멀티테넌트 컨테이너 및 함수 기반 서비스를 생성하고 관리하기 위해 특별히 설계된 오픈 소스 가상화 기술입니다. Firecracker는 마이크로VM(microVM)이라고 불리는 경량 가상 머신에서 워크로드를 실행하며, 이는 하드웨어 가상화 기술이 제공하는 보안 및 격리 속성과 컨테이너의 속도 및 유연성을 결합합니다.

개요

Firecracker의 주요 구성 요소는 Linux Kernel Virtual Machine(KVM)을 사용하여 마이크로VM을 생성하고 실행하는 가상 머신 모니터(VMM)입니다. Firecracker는 또한 KVM 대신 AWS Nitro System에 의해 격리된 Nitro Sandbox로서 게스트를 실행할 수도 있습니다. Firecracker는 미니멀리스트 설계를 가지고 있습니다. 각 마이크로VM의 메모리 풋프린트와 공격 표면을 줄이기 위해 불필요한 장치와 게스트 대면 기능을 제외합니다. 이는 보안을 향상시키고, 시작 시간을 단축하며, 하드웨어 활용도를 높입니다. Firecracker는 또한 Kata Containers 및 Flintlock과 같은 컨테이너 런타임에 통합되었습니다.

Firecracker는 AWS Lambda 및 AWS Fargate와 같은 서비스의 속도와 효율성을 가속화하기 위해 Amazon Web Services에서 개발되었습니다. Firecracker는 Apache version 2.0에 따라 오픈 소스로 공개되었습니다.

Firecracker에 대한 자세한 내용은 firecracker-microvm.io를 확인하세요.

시작하기

Firecracker를 시작하려면 최신 릴리스 바이너리를 다운로드하거나 소스에서 빌드하세요.

Docker가 실행 중이고 bash가 설치된 모든 Unix/Linux 시스템에서 Firecracker를 빌드할 수 있습니다(개발 컨테이너를 사용합니다). 방법은 다음과 같습니다:

git clone https://github.com/firecracker-microvm/firecracker
cd firecracker
tools/devtool build
toolchain="$(uname -m)-unknown-linux-musl"

Firecracker 바이너리는 build/cargo_target/${toolchain}/debug/firecracker에 배치됩니다. 빌드, 테스트 및 Firecracker 실행에 대한 자세한 내용은 빠른 시작 가이드를 참조하세요.

안전한 멀티테넌트 컴퓨팅 기준을 충족하는 능력을 포함한 Firecracker microVM의 전반적인 보안은 잘 구성된 Linux 호스트 운영 체제에 달려 있습니다. 이 기준을 충족한다고 판단되는 구성은 프로덕션 호스트 설정 문서에 포함되어 있습니다.

기여

Firecracker는 이미 AWS 내에서 프로덕션 워크로드를 실행하고 있지만, 우리의 미션이 이끄는 여정에서 여전히 첫날입니다. 구축할 것이 훨씬 더 많으며 모든 기여를 환영합니다.

Firecracker에 기여하려면 시작 가이드의 개발 환경 설정 섹션을 확인한 다음 Firecracker 기여 가이드라인을 확인하세요.

릴리스

새로운 Firecracker 버전은 GitHub 저장소 릴리스 페이지를 통해 일반적으로 2~3개월마다 릴리스됩니다. 변경 내역은 변경 로그에 기록됩니다.

Firecracker 릴리스 정책은 여기에 자세히 설명되어 있습니다.

설계

Firecracker의 전반적인 아키텍처는 설계 문서에 설명되어 있습니다.

기능 및 역량

Firecracker는 시작된 후 호스트에 API 엔드포인트를 노출하는 단일 마이크로 가상 머신 관리자 프로세스로 구성됩니다. API는 OpenAPI 형식으로 명세되어 있습니다. 자세한 내용은 API 문서에서 확인하세요.

API 엔드포인트는 다음 용도로 사용할 수 있습니다:

다음을 통해 microVM 구성:
- vCPU 수 설정 (기본값은 1).
- 메모리 크기 설정 (기본값은 128 MiB).
- CPU 템플릿 구성.
microVM에 하나 이상의 네트워크 인터페이스 추가.
microVM에 하나 이상의 읽기-쓰기 또는 읽기 전용 디스크 추가. 각 디스크는 파일 기반 블록 디바이스로 표현됩니다.
게스트 실행 중 블록 디바이스 재스캔 트리거. 이를 통해 게스트 OS는 블록 디바이스의 백킹 파일 크기 변경을 인식할 수 있습니다.
게스트 부팅 전후에 블록 디바이스의 백킹 파일 변경.
대역폭, 초당 작업 수 또는 둘 다를 제한할 수 있는 virtio 디바이스용 속도 제한기 구성.
로깅 및 메트릭 시스템 구성.
[BETA] 게스트 대면 메타데이터 서비스의 데이터 트리 구성. 이 리소스가 구성된 경우에만 게스트가 서비스를 사용할 수 있습니다.
microVM에 vsock 소켓 추가.
microVM에 엔트로피 디바이스 추가.
microVM에 pmem 디바이스 추가.
메모리 핫플러깅 구성 및 관리.
[Developer Preview] VM 실행 중 virtio PCI 디바이스 핫플러그 및 핫언플러그.
EC2 인스턴스에서 KVM이 아닌 AWS Nitro System으로 격리된 Nitro Sandbox로 게스트 실행 (선택적 증명 포함).
주어진 커널 이미지, 루트 파일 시스템 및 부팅 인자를 사용하여 microVM 시작.
[x86_64 전용] microVM 중지.

내장 역량:

기본적으로 활성화된 요구 페이징 및 CPU 오버서브스크립션.
보안 강화를 위한 고급 스레드별 seccomp 필터.
프로덕션 시나리오에서 Firecracker를 시작하기 위한 Jailer 프로세스. cgroup/네임스페이스 격리 장벽을 적용한 후 권한을 드롭합니다.

테스트된 플랫폼

다음의 모든 조합을 테스트합니다:

인스턴스	호스트 OS 및 커널	게스트 Rootfs	게스트 커널
m5n.metal (Intel Cascade Lake)	al2 linux_5.10	ubuntu 24.04	linux_5.10
m6i.metal (Intel Ice Lake)	al2023 linux_6.1		linux_6.1
	al2023 linux_6.18
m7i.metal-24xl (Intel Sapphire Rapids)
m7i.metal-48xl (Intel Sapphire Rapids)
m8i.metal-48xl (Intel Granite Rapids)*
m8i.metal-96xl (Intel Granite Rapids)*
m6a.metal (AMD Milan)
m7a.metal-48xl (AMD Genoa)
m6g.metal (Graviton 2)
m7g.metal (Graviton 3)
m8g.metal-24xl (Graviton 4)
m8g.metal-48xl (Graviton 4)
m9g.metal-48xl (Graviton 5)

*: 저희는 6.1 또는 6.18 호스트 커널을 사용하는 AWS EC2 8세대 Intel(*8i) 인스턴스만 지원합니다. 이는 5.10에서 Granite Rapids CPU에 대한 커널 지원이 미흡하기 때문입니다.

알려진 문제 및 제한 사항

aarch64의 pl031 RTC 장치는 인터럽트를 지원하지 않으므로, RTC 알람을 사용하는 게스트 프로그램(예: hwclock)은 동작하지 않습니다.

성능

Firecracker의 성능 특성은 사양 문서에 나열되어 있습니다. 모든 사양은 서버리스 운영 모델에서 컨테이너 및 함수 워크로드를 지원하기 위한 당사의 약속의 일부이며, 따라서 지속적 통합 테스트를 통해 강제됩니다.

보안 취약점 공개 정책

Firecracker의 보안은 당사의 최우선 과제입니다. 취약점을 발견했다고 의심되는 경우, 보안 정책 문서에 명시된 대로 비공개로 당사에 연락해 주십시오. 당사는 귀하의 공개 제보를 즉시 최우선으로 처리하겠습니다.

인기

firecracker