セキュアコンテナランタイム Kata

従来の軽量コンテナは Linux の namespace と cgroup によってコンテナを分離しており、軽量・シンプル・高効率というメリットをもたらす一方で、セキュリティ上の懸念も抱えています。

カーネル共有のリスク

コンテナはシステム内の他のプロセスからリソースが分離された実行環境を提供しますが、ホストマシンとはカーネルを共有しています。もしあるコンテナが攻撃を受け、そこからホストのカーネルまで落とされてしまえば、他のコンテナも必然的にすべてクラッシュし、その被害は計り知れません。

では、安全でありながら効率も比較的高いコンテナ技術はないのでしょうか。そこで登場したのが Kata コンテナ技術です。

Kata Containers - Open Source Container Runtime Software

Kata の実現アプローチ

Kata は実際には、軽量な仮想マシンを作成することでコンテナ間のリソース分離を実現し、その仮想マシンの中でコンテナランタイムを動かします。これによりコンテナは専用カーネル内で実行され、ネットワーク・I/O・メモリの分離が提供されるほか、仮想化 VT 拡張を通じてハードウェアによる強制的な分離も利用できます。セキュリティを提供しながら、依然として高いパフォーマンスを保っています。一部の性能を犠牲にする必要はあるものの（現在のバージョンはすでに 3.0 に達しており、パフォーマンスは大幅に向上しています）、そのメリットは明白です。単一のコンテナに問題が発生したり悪意ある攻撃を受けたりしても、ホストマシンに影響が及ぶことは決してなく、間接的に他の稼働中のコンテナも保護されます。

オープンソースリポジトリ

Github : https://github.com/kata-containers/kata-containers

特徴

Kata Containers には、さらに次のような特徴があります。

1. 柔軟性：Kata Containers は複数のオペレーティングシステムとコンテナランタイム環境で動作します。Linux、Windows、FreeBSD など複数の OS をサポートし、Docker、CRI-O、containerd といった複数のコンテナランタイム環境と互換性があります。
2. 拡張性：Kata Containers は大規模なデプロイにも容易にスケールできます。Kubernetes などのコンテナオーケストレーションプラットフォームに統合でき、大量のコンテナを管理できます。
3. インストールの容易さ：Kata Containers のインストールは非常に簡単です。パッケージ管理ツール（apt、yum、zypper など）でインストールでき、コンテナの設定と起動を素早く行える便利なコマンドラインツールも用意されています。
4. コミュニティサポート：Kata Containers には、世界中の開発者が共同でメンテナンス・発展させている活発なオープンソースコミュニティがあります。このコミュニティはさまざまなドキュメント、チュートリアル、サポートを提供しており、Kata Containers をより深く理解し活用する助けになります。
5. セキュリティ：専用カーネル内で実行され、ネットワーク・I/O・メモリの分離を提供し、仮想化 VT 拡張を備えたハードウェアによる強制的な分離も利用できます。
6. 互換性：OCI コンテナフォーマット、Kubernetes CRI インターフェース、そして従来の仮想化技術といった業界標準をサポートしています。
7. 軽量：フル機能の VM の中にコンテナをネストさせる必要がありません。
8. 高パフォーマンス：標準的な Linux コンテナに近いパフォーマンスを提供します（それでも性能の損失は存在します）。

課題

Kata Containers の弱点の一部を挙げます。

1. 性能の損失：Kata Containers のパフォーマンスは大幅に向上しているものの、従来の Linux コンテナと比べると、依然として一定の性能損失があります。これは Kata Containers が軽量な仮想マシンでコンテナ分離を実現しており、その分の追加オーバーヘッドが生じるためです。
2. インストールと設定の複雑さ：従来の Linux コンテナと比べると、Kata Containers のインストールと設定はより複雑になる場合があります。QEMU や KVM といった仮想化ソフトウェア、そして Kata Containers ランタイムなどのコンポーネントをインストール・設定する必要があります。
3. ハードウェア要件の高さ：Kata Containers は仮想化 VT 拡張をサポートするハードウェアを必要とするため、古いサーバーでの利用が制限される可能性があります。
4. エコシステムの未成熟さ：Kata Containers には活発なオープンソースコミュニティがあるものの、他のコンテナ技術と比べると、エコシステムはまだ十分に成熟していない可能性があります。つまり、特定のニーズを満たすためには、ユーザー自身がツールやプラグインを書く必要が出てくるかもしれません。

まとめ

Kata の核心となる考え方は、軽量な仮想マシンと引き換えにカーネルレベルの分離を得ることです。各コンテナは専用カーネル内で動作するため、単一のコンテナが侵害されてもホストや他のコンテナには波及しません。その代償として、一定の性能損失、より複雑なインストール・設定、そしてハードウェア仮想化機能への要件があります。Kata は従来のコンテナを置き換えるものではなく、新しいトレードオフの選択肢を提供するものです。マルチテナントを扱うワークロードや高い分離性が求められる場合には、その部分に Kata を導入する価値があります。逆にそうでなければ、標準的な Linux コンテナのほうが依然としてシンプルな選択肢です。