firecracker

A nossa missão é permitir a execução segura, multi-inquilino e com sobrecarga mínima de cargas de trabalho de contentores e funções.

Leia mais sobre a Carta do Firecracker aqui.

O que é o Firecracker?

O Firecracker é uma tecnologia de virtualização de código aberto criada especificamente para criar e gerir serviços seguros, multi-inquilino e baseados em contentores e funções que fornecem modelos operacionais serverless. O Firecracker executa cargas de trabalho em máquinas virtuais leves, chamadas microVMs, que combinam as propriedades de segurança e isolamento fornecidas pela tecnologia de virtualização de hardware com a velocidade e flexibilidade dos contentores.

Visão geral

O principal componente do Firecracker é um monitor de máquina virtual (VMM) que utiliza a Linux Kernel Virtual Machine (KVM) para criar e executar microVMs. O Firecracker tem um design minimalista. Exclui dispositivos desnecessários e funcionalidades orientadas ao convidado para reduzir a pegada de memória e a superfície de ataque de cada microVM. Isto melhora a segurança, diminui o tempo de arranque e aumenta a utilização de hardware. O Firecracker também foi integrado em runtimes de contentores, por exemplo Kata Containers e Flintlock.

O Firecracker foi desenvolvido na Amazon Web Services para acelerar a velocidade e a eficiência de serviços como AWS Lambda e AWS Fargate. O Firecracker é de código aberto sob a Apache versão 2.0.

Para saber mais sobre o Firecracker, consulte firecracker-microvm.io.

Introdução

Para começar a utilizar o Firecracker, transfira os binários do lançamento mais recente ou compile-o a partir do código-fonte.

Pode compilar o Firecracker em qualquer sistema Unix/Linux que tenha Docker em execução (utilizamos um contentor de desenvolvimento) e bash instalado, da seguinte forma:

git clone https://github.com/firecracker-microvm/firecracker
cd firecracker
tools/devtool build
toolchain="$(uname -m)-unknown-linux-musl"

O binário do Firecracker será colocado em build/cargo_target/${toolchain}/debug/firecracker. Para mais informações sobre compilar, testar e executar o Firecracker, consulte o guia de início rápido.

A segurança geral das microVMs do Firecracker, incluindo a capacidade de cumprir os critérios para computação multi-inquilino segura, depende de um sistema operativo anfitrião Linux bem configurado. Uma configuração que acreditamos atingir este nível está incluída no documento de configuração do anfitrião de produção.

Contribuir

O Firecracker já executa cargas de trabalho de produção na AWS, mas ainda está no Dia 1 da jornada guiada pela nossa missão. Há muito mais para construir e acolhemos todas as contribuições.

Para contribuir com o Firecracker, consulte a secção de configuração de desenvolvimento no guia de início rápido e depois as diretrizes de contribuição do Firecracker.

Lançamentos

Novas versões do Firecracker são lançadas através da página de lançamentos do repositório GitHub, normalmente a cada dois ou três meses. Um histórico de alterações é registado no nosso changelog.

A política de lançamentos do Firecracker está detalhada aqui.

Design

A arquitetura geral do Firecracker está descrita no documento de design.

Funcionalidades e Capacidades

O Firecracker consiste num único processo de micro Virtual Machine Manager que expõe um endpoint de API ao anfitrião após ser iniciado. A API é especificada em formato OpenAPI. Leia mais sobre ela na documentação da API.

O endpoint de API pode ser utilizado para:

• Configurar a microvm através de:
  • Definir o número de vCPUs (a predefinição é 1).
  • Definir o tamanho da memória (a predefinição é 128 MiB).
  • Configurar um CPU template.
• Adicionar uma ou mais interfaces de rede à microVM.
• Adicionar um ou mais discos de leitura-escrita ou só de leitura à microVM, cada um representado por um dispositivo de bloco suportado por ficheiro.
• Acionar uma nova verificação do dispositivo de bloco enquanto o convidado está em execução. Isto permite que o SO convidado detete alterações de tamanho no ficheiro de suporte do dispositivo de bloco.
• Alterar o ficheiro de suporte de um dispositivo de bloco, antes ou depois do arranque do convidado.
• Configurar limitadores de débito para dispositivos virtio que podem limitar a largura de banda, operações por segundo, ou ambos.
• Configurar o sistema de registo e métricas.
• [BETA] Configurar a árvore de dados do serviço de metadados orientado ao convidado. O serviço só está disponível para o convidado se este recurso for configurado.
• Adicionar um socket vsock à microVM.
• Adicionar um dispositivo de entropia à microVM.
• Adicionar um dispositivo pmem à microVM.
• Configurar e gerir hotplug de memória.
• [Developer Preview] Hot-plug e hot-unplug de dispositivos virtio PCI enquanto a VM está em execução.
• [x86_64 apenas] Parar a microVM.

Capacidades Integradas:

• Paginação por procura e sobre-subscrição de CPU ativadas por predefinição.
• Filtros seccomp avançados e específicos por thread para maior segurança.
• Processo Jailer para iniciar o Firecracker em cenários de produção; aplica uma barreira de isolamento cgroup/namespace e depois remove privilégios.

Plataformas testadas

Testamos todas as combinações de:

*: Apenas suportamos instâncias AWS EC2 Intel de 8ª geração (*8i) que utilizam um kernel anfitrião 6.1 ou 6.18. Isto deve-se ao fraco suporte do kernel para CPUs Granite Rapids no 5.10.

Problemas conhecidos e limitações

• O dispositivo RTC pl031 no aarch64 não suporta interrupções, pelo que os programas convidados que utilizam um alarme RTC (por exemplo, hwclock) não funcionarão.

Desempenho

As características de desempenho do Firecracker estão listadas como parte da documentação de especificações. Todas as especificações fazem parte do nosso compromisso de suportar cargas de trabalho de contentores e funções em modelos operacionais serverless e são, por isso, aplicadas através de testes de integração contínua.

Política de Divulgação de Segurança

A segurança do Firecracker é a nossa principal prioridade. Se suspeitar que descobriu uma vulnerabilidade, contacte-nos em privado, conforme descrito no nosso documento de política de segurança; iremos priorizar imediatamente a sua divulgação.

FAQ e Contacto

As perguntas frequentes estão reunidas no nosso documento de FAQ.

Pode contactar a comunidade do Firecracker das seguintes formas:

• Questões relacionadas com segurança, consulte o nosso documento de política de segurança.
• Converse connosco no nosso espaço de trabalho Slack Nota: a maioria dos mantenedores está num fuso horário europeu.
• Abra um issue do GitHub neste repositório.
• Envie um e-mail aos mantenedores para [email protected].

Ao comunicar dentro da comunidade do Firecracker, respeite o nosso código de conduta.