[Kubernetes] 容器运行时 Container Runtime

news2024/11/25 4:43:46

文章目录

      • 1.容器运行时(Container Runtime)
      • 2.容器运行时接口
      • 3.容器运行时层级
      • 4.容器运行时比较
      • 5.强隔离容器
      • 6.K8S为何难以实现真正的多租户

1.容器运行时(Container Runtime)

Container Runtime 是运行于 k8s 集群每个节点中，负责容器的整个生命周期。Docker 就目前来说是应用最为广泛的。随着容器云的发展，涌现了很多容器运行时。Google 为了将 kubelet 和特定的容器运行时解耦（主要还是为了干掉 Docker），于是推出了 CRI（容器运行时接口） 。

2.容器运行时接口

CRI 是 k8s 定义的一组 gRPC 服务。kubelet 作为客户端，基于 gRPC 框架，通过 Socket 和容器运行时通信。CRI 包括两类服务：镜像服务（Image Service）和运行时服务（Runtime Service）。镜像服务提供下载、检查和删除镜像的远程程序调用。运行时服务用于管理容器的生命周期，以及和容器交互的调用（exec / attach / port-forward）。

在这里插入图片描述

3.容器运行时层级

Container Runtime 分为高低两个层级。

  1. 高层级运行时

    • Dockershim、containerd 和 CRI-O 都是遵循 CRI 的容器运行时，属于高层级运行时，主要是面向外部提供 gRPC 调用。

    • 注意这里是 Dockershim，并不是 Docker，Docker 至今也没有遵循 CRI。docker shim相当于一个转换器，将k8s的指令翻译为docker能听懂的语言。弃用docker shim后 k8s 无需考虑docker shim翻译过程的bug，或者docker的兼容性问题。

    • 在这里插入图片描述

    • OCI（OPen Container Initiative）定义了创建容器的格式和运行时的开源行业标准，包括镜像规范和运行时规范。

    • 高层级运行时会下载一个 OCI 镜像，并把它解压成 OCI 运行时文件系统包（filesystem bundle）。

    • 高层运行时主要负责镜像的管理、转换等工作, 为容器的运行做准备，主流的高层运行时主要有containerd和CRI-O。

    • 高层运行时与底层运行时各司其职, 容器运行时一般先由高层运行时将镜像下载下来, 并解压为容器运行时需要的操作系统文件, 再由底层运行时启动和管理容器。

  2. 低层级运行时

    • 低层级运行时定义如何为新容器设置 Linux namespaces 和 cgroups，以及 rootfs 等操作， runC 就是具体的参考实现。除了 runC 外，还有很多其他的运行时遵循 OCI 标准，例如 kata 以及 gVisor。
    • 底层运行时主要负责与宿主机操作系统打交道, 根据指定的容器镜像在宿主上运行容器的进程, 并对容器的整个生命周期进行管理。而这个底层运行时, 正是负责执行前面讲解的设置容器Namespace, Cgroups 等基础操作的组件, 常见的底层运行时有:
      • runc: 传统的运行时, 基于Namespace和Cgroup技术实现, 代表实现为Docker
      • runv: 基于虚拟机管理程序的运行时, 通过虚拟化 guest kernel, 将容器和主机隔离开, 使得其边界更加清晰, 代表为kata container和Firecracker。
      • runsc: runc + safety, 通过拦截应用程序的所有系统调用, 提供安全隔离的轻量级容器运行时沙箱, 代表为gVisor

  3. docker和containerd区别

    • 主要区别在于Docker是一个完整的容器平台，而Containerd是一个轻量级的容器运行时。
      • Docker 是一个开源的容器平台，提供了一整套容器解决方案，包括构建、打包、分发和运行容器。它包括Docker Engine、Docker Swarm、Docker Compose等多个组件，提供了镜像构建、容器编排等高级功能，适合需要复杂容器管理功能的用户。Docker不仅是一个容器引擎，还包括了网络、存储等组件，其API和CLI（命令行接口）更加丰富，可以方便地进行容器创建、停止、启动、删除等操作，具有更高的安全和稳定性。
      • Containerd 是一个轻量级的容器运行时，专注于底层的容器生命周期管理，如容器的创建、启动、停止和销毁。它比Docker更轻量级，可以快速启动和运行容器，并且具有更好的性能和可扩展性。Containerd的设计更加简单和稳定，提供了API，可以与其他容器编排工具集成使用，使其更加灵活和可扩展。Containerd的API和CLI相对比较简单，更加注重容器的生命周期管理和基本的镜像操作。
    • 在Kubernetes（K8s）中，使用Docker和Containerd作为容器运行时在调用上存在一些区别。Containerd不需要经过dockershim，所以调用链更短，组件更少，更稳定，占用节点资源更少。而Docker需要经过更长的调用链。此外，Docker调用CNI（容器网络接口）是通过“docker-shim”，而Containerd调用CNI是通过“containerd-cri”。
    • 总的来说，Docker和Containerd的区别主要体现在功能丰富度、系统资源占用、以及与Kubernetes等工具的集成能力上。Docker提供了更全面的容器管理功能，适合需要复杂容器管理功能的用户；而Containerd则更适合追求轻量级、高性能和灵活性的用户。

高层级运行时（Dockershim、containerd 和 CRI-O ），主要是面向外部提供 gRPC 调用。
低层级运行时（runC、kata和gVisor ），定义如何为新容器设置 Linux namespaces 和 cgroups，以及 rootfs 等操作。

4.容器运行时比较

在这里插入图片描述

  1. containerd + runc
  2. containerd + kata containers
  3. cri + runc

Docker 的多层封装和调用，导致其在可维护性上略逊一筹。containerd 和 CRI-O 的方案比 Docker 简洁很多。

在这里插入图片描述

dockershim 遵循 CRI，并把请求转为 dockerd 可处理的请求，其代码集成在 kubelet 中，这也是 k8s 急于摆脱 Docker 的原因之一。

真正的启动容器是通过 containerd-shim 去调用 runC 来启动容器的，runC 启动完成后会直接退出，containerd-shim 会成为容器进程的父进程，负责收集容器进程的状态，上报给 containerd，并在容器中 pid 为 1 的进程退出后接管容器中的子进程，确保不会出现僵尸进程。同时也避免了宿主机上 containerd 进程挂掉的话，所有容器进程都退出。

  1. containerd 和 Docker 细节差异
    在这里插入图片描述
    Docker 作为容器运行时，k8s 其实根本没有使用 docker 本身的存储、网络等功能，只是用了 Docker 的 Image 功能，来满足 CRI 中的镜像服务。

  2. containerd 和 CRI-O
    CRI-O是由红帽发起并开源的一款容器运行时，本身比较新，没有太多的生产实践。而且在社区的测试结果中，在操作容器方面的性能以及延时都没有 containerd 优秀。

5.强隔离容器

（1）常用强隔离容器

Kata, gVisor, firecracker

（2）安全容器与 Serverless

Serverless 要做到所有的用户容器或函数按需使用计算资源, 那必须满足两点:

  1. 多租户强隔离: 用户的容器或函数都是按需启动按秒计费, 我们可不能给每个用户预先分配一坨隔离的资源,因此我们要保证整个 Platform 是多租户强隔离的;
  2. 极度轻量: Serverless 的第一个特点是运行时沙箱会更频繁地创建和销毁, 第二个特点是切分的粒度会非常非常细, 细中细就是 FaaS, 一个函数就要一个沙箱。 因此就要求两点: 1. 沙箱启动删除必须飞快; 2. 沙箱占用的资源越少越好。

（3）Kata Containers

① 概念

Kata Containers作为OpenStack基金会的一个开放源代码项目，作为其最近扩展的包含OpenStack核心项目的章程的一部分。这个项目肯定会促进标准化和创新，从而推动容器技术的快速发展。已经有将近20家公司同意在Kata Containers上共同合作。

Kata容器也将在多个基础架构和容器编排和规范社区中集成和兼容：Kubernetes，Docker，Open Container Initiative（OCI），Container Runtime Interface（CRI），容器网络接口（CNI），QEMU，KVM，HyperV和OpenStack。

② 特点

容器的速度，虚拟机的安全。

Kata 的一张图很好地解释了基于虚拟机的容器与基于 namespaces 和 cgroups 的容器间的区别:

在这里插入图片描述

Kata Containers是一种轻量级虚拟机的新颖实现无缝集成在容器生态系统中。Kata Containers同容器一样轻而快，并与容器结合管理层，同时也提供了虚拟机的安全优势。

Kata Containers是两个现有的开源项目合并：英特尔Clear Containers和Hyper runV。新项目汇集了最好的这两种技术都具有重构虚拟化，容器原生应用程序的共同愿景，为了提供容器的速度，和虚拟机的安全。

在这里插入图片描述

Kata Containers从每个项目的优势中受益。Intel Clear Containers专注于性能（<100ms启动时间）和增强安全性，而hyper runV优先于技术无关支持许多不同的CPU架构和管理程序。通过合并这些项目，Clear Containers提供了卓越的最终用户体验性能和兼容性，统一开发者社区，并加速功能开发以解决未来的使用案例。

行业转向容器在安全方面提出了独特的挑战，用户工作负载在多租户不受信任的环境中。Kata Containers使用开源虚拟机管理程序作为每个容器的隔离边界（或一个容器中的容器的集合）;这种方法解决了与现有的裸机容器解决方案共同的内核困境。

Kata Containers是非常适合按需，基于事件的部署，如无服务器功能，连续整合/持续交付，以及更长时间运行的Web服务器应用。开发者不再需要知道任何事情下面的基础或执行任何类型的容量规划之前启动他们的容器工作量。Kata Containers交付增强安全性，可扩展性和更高的资源利用率，同时导致整体简化的堆栈。

6.K8S为何难以实现真正的多租户

  1. kube-apiserver 是整个集群中的单例, 并且没有多租户概念；

  2. 默认的 oci-runtime 是 runC, 而 runC 启动的容器是共享内核的。

一个典型的解决方案就是提供一个新的 OCI 实现, 用 VM 来跑容器, 实现内核上的硬隔离。 runV 和 Clear Containers 都是这个思路. 因为这两个项目做得事情是很类似, 后来就合并成了一个项目 Kata Container。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1806899.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

Redis的删除策略与内存淘汰

Redis的删除策略与内存淘汰

文章目录 删除策略设置过期时间的常用命令过期删除策略 内存淘汰相关设置LRU算法LFU 总结 在redis使用过程中&#xff0c;常常遇到以下问题&#xff1a; 如何设置Redis键的过期时间&#xff1f;设置完一个键的过期时间后&#xff0c;到了这个时间&#xff0c;这个键还能获取到么…
阅读更多...
Foxmail邮箱的使用方法和功能最全介绍

Foxmail邮箱的使用方法和功能最全介绍

Foxmail邮箱是我们办公邮箱中比较有代表性和使用性的一款邮箱软件&#xff0c;今天笔者为大家介绍一下Foxmail邮箱的功能和使用方法。 1、首先我们从安装Foxmail邮箱开始 2、点击安装等待安装成功 3、双击打开 &#xff0c;出现邮箱设置界面输入我们的账号密码&#xff0c;点击…
阅读更多...
ESP32:往MicroPython集成PCNT以支持硬件正交编码器

ESP32:往MicroPython集成PCNT以支持硬件正交编码器

背景 官方发布的1.23依然没有在ESP32中集成PCNT功能。考虑到硬件的PCNT模块可以提供4倍的编码精度&#xff08;对比使用PIn IRQ&#xff09;&#xff0c;还能提供硬件去毛刺。 还是自己集成一下吧。 实际上Github上早在2022年1月的时候就已经有人建议了将PCNT加入正式版本的功…
阅读更多...
家庭电脑私网如何访问阿里云服务器的指定端口

家庭电脑私网如何访问阿里云服务器的指定端口

这里我们以在阿里云服务器上部署一个redis server 服务&#xff0c;对外开放6379端口为例子&#xff0c;其他端口类似。 1.获取当前电脑主机对应的公网IP, 可以https://tool.lu/ip/通过这个网站拿到。 2.阿里云服务器控制台设置防火墙&#xff0c;如下图所示&#xff0c;直接添…
阅读更多...
【leetcode22-36】链表

【leetcode22-36】链表

160.相交链表 【等比例法】 class Solution:def getIntersectionNode(self, headA: ListNode, headB: ListNode) -> Optional[ListNode]:if not headA or not headB:return NonepointA headApointB headBwhile pointA ! pointB:pointA pointA.next if pointA else headB …
阅读更多...
五、身份与访问管理—身份管理和访问控制管理（CISSP）

五、身份与访问管理—身份管理和访问控制管理（CISSP）

目录 1.身份管理 1.1 目录技术 1.2 单点登录 1.2.1 Kerberos认证 1.2.2 SESAME认证 1.2.3 KryptoKnight认证 1.3 联合身份管理 1.3.1 SAML安全断言标记语言 1.3.2 标记语言 1.3.3 OpenID 1.3.4 OAuth 1.3.5 OIDC（OpenID Connect） 2.身份即服务（IDaaS） 2.1 AA…
阅读更多...
【CS.SE】端午节特辑：Docker容器化技术详解与实战

【CS.SE】端午节特辑：Docker容器化技术详解与实战

端午节, 先祝愿大家端午安康&#xff0c;阖家幸福, 哈哈&#xff01;这篇讲下Docker这一现代软件开发中不可或缺的技术。软件工程涉及软件开发的整个生命周期&#xff0c;包括需求分析、设计、构建、测试、部署和维护。Docker作为一种容器化技术&#xff0c;直接关联到软件部署…
阅读更多...
基于springboot开发的Java MES制造执行系统源码，全套源码，一款数字化管理平台源码 云MES系统源码

基于springboot开发的Java MES制造执行系统源码，全套源码，一款数字化管理平台源码 云MES系统源码

基于springboot开发的Java MES制造执行系统源码&#xff0c;全套源码&#xff0c;一款数字化管理平台源码 云MES系统源码 MES系统源码相关技术&#xff1a; ​技术架构&#xff1a;springboot vue-element-plus-admin 开发语言&#xff1a;Java 开发工具&#xff1a;idea 前…
阅读更多...
【西瓜书】6.支持向量机

【西瓜书】6.支持向量机

目录&#xff1a; 1.分类问题SVM 1.1.线性可分 1.2.非线性可分——核函数 2.回归问题SVR 3.软间隔——松弛变量 3.1.分类问题&#xff1a;0/1损失函数、hinge损失、指数损失、对率损失 3.2.回归问题&#xff1a;不敏感损失函数、平方 4.正则化
阅读更多...
机器学习——卷积神经网络

机器学习——卷积神经网络

卷积神经网络CNN 多层感知机MLP的层数足够&#xff0c;理论上可以用其提取出二位特征&#xff0c;但是毕竟复杂&#xff0c;卷积神经网络就可以更合适的来提取高维的特征。 而卷积其实是一种运算 二维离散卷积的公式 可以看成g是一个图像的像素点&#xff0c;f是每个像素点对…
阅读更多...
从反向传播过程看激活函数与权重初始化的选择对深度神经网络稳定性的影响

从反向传播过程看激活函数与权重初始化的选择对深度神经网络稳定性的影响

之前使用深度学习时一直对各种激活函数和权重初始化策略信手拈用&#xff0c;然而不能只知其表不知其里。若想深入理解为何选择某种激活函数和权重初始化方法卓有成效还是得回归本源&#xff0c;本文就从反向传播的计算过程来按图索骥。 为了更好地演示深度学习中的前向传播和…
阅读更多...
Modbus主站和从站的区别

Modbus主站和从站的区别

Modbus主站,从站 在工业自动化领域&#xff0c;Modbus是一种常用的通信协议&#xff0c;用于设备之间的数据交换。在Modbus通信中&#xff0c;主站和从站是两个关键的角色。了解主站和从站之间的区别对正确配置和管理Modbus网络至关重要。 Modbus主站的特点和功能 1.通信请求发…
阅读更多...
文献阅读：Solving olympiad geometry without human demonstrations

文献阅读：Solving olympiad geometry without human demonstrations

文献阅读&#xff1a;Solving olympiad geometry without human demonstrations 1. 文章简介2. 方法介绍 1. Overview2. Symbolic deduce3. Language Model4. 联合使用 3. 实验考察 & 结论 1. 基础实验考察2. 结果分析3. 样例展示 4. 总结 & 思考 文献链接&#xff1a…
阅读更多...
《web应用技术》第十次作业

《web应用技术》第十次作业

将自己的项目改造为基于vue-cli脚手架的项目&#xff0c;页面有导航&#xff0c;学会使用router。 <el-aside width"200px" style"background-color: aliceblue;"> <el-menu :default-openeds"[1]" style"background-color:rgb(1…
阅读更多...
关于Redis中哨兵(Sentinel)

关于Redis中哨兵(Sentinel)

Redis Sentinel 相关名词解释 名词 逻辑结构 物理结构 主节点 Redis 主服务 一个独立的 redis-server 进程 从节点 Redis 从服务 一个独立的 redis-server 进程 Redis 数据节点 主从节点 主节点和从节点的进程 哨兵节点 监控 Redis 数据节点的节点 一个独立的 re…
阅读更多...
Cyber Weekly #10

Cyber Weekly #10

赛博新闻 1、最强开源大模型面世&#xff1a;阿里发布Qwen2 6月7日凌晨&#xff0c;阿里巴巴通义千问团队发布了Qwen2系列开源模型。该系列模型包括5个尺寸的预训练和指令微调模型&#xff1a;Qwen2-0.5B、Qwen2-1.5B、Qwen2-7B、Qwen2-57B-A14B以及Qwen2-72B。据Qwen官方博客…
阅读更多...
开发没有尽头，尽力既是完美

开发没有尽头，尽力既是完美

最近遇到了一些难题&#xff0c;开发系统总有一些地方没有考虑周全&#xff0c;偏偏用户使用的时候“完美复现”了这个隐藏的Bug...... 讲道理创业一年之久为了生存&#xff0c;我一直都有在做复盘&#xff0c;复盘的核心就是&#xff1a;如何提升营收、把控开发质量&#xff0…
阅读更多...
嵌入式仪器模块:示波器模块和自动化测试软件

嵌入式仪器模块:示波器模块和自动化测试软件

示波器模块 • 32 位分辨率 • 125 MSPS 采样率 • 支持单通道/双通道模块选择 • 低速模式可实现实时功率分布和整机功率检测 • 高速模式可实现信号分析和上电时序测量 应用场景 • 抓取并分析波形的周期、幅值、异常信号等指标 • 电源纹波与噪声分析 • 信号模板比…
阅读更多...
vue28：组件化开发和根组件

vue28：组件化开发和根组件

简单写个点击事件 <template> <div class"app"><div class"box" click"fn"></div></div> </template><script> export default {//导出当前组件的配置项//里面可以提供 data methods computed wat…
阅读更多...
SpringBoot: 启动流程和类装载

SpringBoot: 启动流程和类装载

前面我们学过Spring定制了自己的可执行jar&#xff0c;将真正执行时需要的类和依赖放到BOOT-INF/classes、BOOT-INF/lib来&#xff0c;为了能够识别这些为止的源文件&#xff0c;Spring定制了自己类加载器&#xff0c;本节我们来讲解这个类加载器。本节涉及的内容主要包括: Sp…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023