firecracker

Наша миссия — обеспечить безопасное, мультитенантное выполнение контейнерных и функциональных рабочих нагрузок с минимальными накладными расходами.

Подробнее об уставе Firecracker читайте здесь.

Что такое Firecracker?

Firecracker — это технология виртуализации с открытым исходным кодом, специально созданная для создания и управления безопасными мультитенантными сервисами на основе контейнеров и функций, которые обеспечивают бессерверные операционные модели. Firecracker запускает рабочие нагрузки в облегченных виртуальных машинах, называемых microVM, которые сочетают свойства безопасности и изоляции, обеспечиваемые аппаратной виртуализацией, со скоростью и гибкостью контейнеров.

Обзор

Основным компонентом Firecracker является монитор виртуальных машин (VMM), который использует виртуальную машину на основе ядра Linux (KVM) для создания и запуска microVM. Firecracker имеет минималистичный дизайн. Он исключает ненужные устройства и функциональность, обращенную к гостю, чтобы уменьшить объем памяти и площадь атаки каждой microVM. Это повышает безопасность, сокращает время запуска и увеличивает утилизацию аппаратного обеспечения. Firecracker также интегрирован в контейнерные рантаймы, например Kata Containers и Flintlock.

Firecracker был разработан в Amazon Web Services для ускорения и повышения эффективности таких сервисов, как AWS Lambda и AWS Fargate. Firecracker распространяется с открытым исходным кодом под лицензией Apache версии 2.0.

Чтобы узнать больше о Firecracker, посетите firecracker-microvm.io.

Начало работы

Чтобы начать работу с Firecracker, загрузите последние релизные бинарные файлы или соберите его из исходного кода.

Вы можете собрать Firecracker в любой системе Unix/Linux, где запущен Docker (мы используем контейнер для разработки) и установлен bash, следующим образом:

git clone https://github.com/firecracker-microvm/firecracker
cd firecracker
tools/devtool build
toolchain="$(uname -m)-unknown-linux-musl"

Бинарный файл Firecracker будет размещен в build/cargo_target/${toolchain}/debug/firecracker. Дополнительную информацию о сборке, тестировании и запуске Firecracker см. в кратком руководстве.

Общая безопасность microVM Firecracker, включая способность соответствовать критериям безопасных мультитенантных вычислений, зависит от правильно настроенной хост-операционной системы Linux. Конфигурация, которая, по нашему мнению, соответствует этому уровню, приведена в документе о настройке production-хоста.

Участие в разработке

Firecracker уже выполняет производственные нагрузки внутри AWS, но это все еще первый день пути, которым руководствуется наша миссия. Нам предстоит еще многое построить, и мы приветствуем любой вклад.

Чтобы внести вклад в Firecracker, ознакомьтесь с разделом о настройке среды разработки в руководстве по началу работы, а затем с руководством по внесению вклада в проект Firecracker.

Релизы

Новые версии Firecracker выпускаются на странице релизов репозитория GitHub, как правило, каждые два-три месяца. История изменений отражена в нашем журнале изменений.

Политика выпуска версий Firecracker подробно описана здесь.

Архитектура

Общая архитектура Firecracker описана в документе о проектировании.

Возможности

Firecracker состоит из одного процесса микроменеджера виртуальных машин (microVMM), который после запуска предоставляет хост-системе конечную точку API. API описан в формате OpenAPI. Подробнее об этом читайте в документации по API.

Конечная точка API может использоваться для:

• Настроить microVM, задав:
  • количество vCPU (по умолчанию 1).
  • размер памяти (по умолчанию 128 МиБ).
  • шаблон CPU.
• Добавить в microVM один или несколько сетевых интерфейсов.
• Добавить в microVM один или несколько дисков для чтения-записи или только для чтения, каждый из которых представлен блочным устройством на основе файла.
• Запустить повторное сканирование блочного устройства во время работы гостевой системы. Это позволяет гостевой ОС подхватывать изменения размера файла поддержки блочного устройства.
• Изменить файл поддержки блочного устройства до или после загрузки гостевой системы.
• Настроить ограничители скорости для virtio-устройств, которые могут ограничивать пропускную способность, количество операций в секунду или оба параметра.
• Настроить систему журналирования и метрик.
• [BETA] Настроить дерево данных сервиса метаданных, доступного гостевой системе. Сервис доступен гостю только в том случае, если этот ресурс настроен.
• Добавить в microVM vsock-сокет.
• Добавить в microVM устройство энтропии.
• Добавить в microVM pmem-устройство.
• Настроить горячее подключение памяти и управлять им.
• [Developer Preview] Горячее подключение и отключение virtio PCI-устройств во время работы ВМ.
• Запустить microVM с заданным образом ядра, корневой файловой системой и параметрами загрузки.
• [только x86_64] Остановить microVM.

Встроенные возможности:

• Подкачка по требованию и переподписка CPU, включенные по умолчанию.
• Расширенные, привязанные к потокам фильтры seccomp для повышенной безопасности.
• Процесс Jailer для запуска Firecracker в производственных сценариях; применяет барьер изоляции cgroup/namespace, а затем сбрасывает привилегии.

Протестированные платформы

Мы тестируем все комбинации:

*: Мы поддерживаем только инстансы AWS EC2 8-го поколения Intel (*8i) с ядром хоста 6.1 или 6.18. Это связано с плохой поддержкой процессоров Granite Rapids ядром 5.10.

Известные проблемы и ограничения

• Устройство RTC pl031 на aarch64 не поддерживает прерывания, поэтому гостевые программы, использующие будильник RTC (например, hwclock), не будут работать.

Производительность

Характеристики производительности Firecracker перечислены в документации по спецификациям. Все спецификации являются частью наших обязательств по поддержке контейнерных и функциональных рабочих нагрузок в бессерверных операционных моделях и поэтому обеспечиваются непрерывным интеграционным тестированием.

Политика раскрытия информации о безопасности

Безопасность Firecracker — наш главный приоритет. Если вы подозреваете, что обнаружили уязвимость, свяжитесь с нами конфиденциально, как описано в нашем документе о политике безопасности; мы немедленно обработаем ваше сообщение.

Часто задаваемые вопросы и контакты

Часто задаваемые вопросы собраны в нашем документе FAQ.

Вы можете связаться с сообществом Firecracker следующими способами:

• Проблемы, связанные с безопасностью, см. в нашем документе о политике безопасности.
• Общайтесь с нами в нашем рабочем пространстве Slack Примечание: большинство мейнтейнеров находятся в европейском часовом поясе.
• Откройте issue на GitHub в этом репозитории.
• Напишите мейнтейнерам на адрес [email protected].

При общении в сообществе Firecracker, пожалуйста, соблюдайте наш кодекс поведения.