Kata Containers学习笔记

Kata Containers是基于Intel Clear Container + Hyper runV实现的轻量级的虚拟机，能够无缝的集成到容器生态系统中。Kata和Container一样轻量、快速，同时具有传统虚拟化的安全优势，Kata和Docker的OCI规范、K8S的CRI接口兼容。

迁移到容器云需要面临的一个重要挑战就是安全问题。多租户环境下，不安全负载和受信任负载在一起运行。Kata利用基于硬件的隔离，实现容器/Pod的安全边界，解决了传统容器架构共享内核的安全缺陷（提权漏洞）。使用Kata，你可以在单个K8S集群中服务多个租户。

支持工业标准，包括OCI容器格式、K8S的CRI接口。

这是虚拟化的优势，即允许使用任意的客户机操作系统，允许设备穿透访问。

Kata包含Agent、Runtime、Proxy、Shim、Kernel、Hypervisor等组件。

运行在虚拟机内部，负责创建容器环境和进程。

运行在宿主机上，负责协调和Agent的交互。

可选的工具，用于监控容器，去除重复内存，以最大化容器部署密度。

容器管理器调用此组件，该组件提供操控容器的高层接口，提供了CLI。该组件和OCI、CRI-O、Containerd兼容。

运行在宿主机上的进程，为了兼容OCI规范而存在。垫片在宿主机上代表工作负载（运行在虚拟机）处理标准的IO、信号。

使用QEMU 2.11。

QEMU使用Linux内核来启动客户机镜像。 

宿主机必须支持KVM：

 如果宿主机本身就是虚拟机，则宿主机的宿主机应当开启嵌套虚拟化：

执行下面的命令，检查当前环境是否具备运行Kata的条件：

如果一切正常，应当没有错误日志。

创建配置文件：

重启Docker：

执行下面的命令，以Kata作为Runtime创建容器：

容器运行起来之后，你可以看到QEMU进程qemu-lite-system-x86_64。 

Kata是OCI兼容的容器运行时，不能直接和K8S的CRI API交互。因此，想集成K8S，先要安装一个支持CRI - OCI适配的CRI实现，可供选择的有 CRI-O、 CRI-containerd。

CRI-O是基于OCI的CRI实现。 

skopeo是一个命令行工具，支持对容器镜像、仓库进行各种操作。skopeo支持OCI镜像以及Docker v2镜像格式。skopeo可以和支持API v2的镜像仓库进行交互。

和Docker不同，skopeo不需要运行守护程序即可完成以下操作：

1. 在多种存储机制之间拷贝镜像，例如从一个仓库拷贝到另外一个
2. 查看远程镜像的属性，包括它的层，而不需要预先拉取到本地
3. 从仓库中删除镜像
4. 支持向仓库提供身份凭证信息

执行下面的命令安装：

这是一个轻巧的CLI工具，可以基于OCI规范产生和运行容器进程。

CRI-O可以支持多种运行时，可以将runc作为默认运行时，让kata作为不受信任负载的运行时。

crio没有提供预编译的二进制文件，你需要自己编译。首先安装Go的SDK并初始化工作区：

然后构建crictl：

然后从源码构建crio： 

修改配置文件中的以下字段：

注意，CRI-O默认使用的运行时是runc。

创建Systemd服务定义：

使用下面的命令检测crio是否正常运行：

重新加载配置，重启kubelet后，在K8S主节点上可以看到容器运行时变为cri-o：

使用如下命令尝试拉取必备的镜像：

kube-proxy等Daemonset管理的Pod会自动在所有节点上运行，你可以使用如下命令查看本机运行的Pod：

如果默认运行时是runc，则此时看不到Kata容器：

我们可以创建一个标注为“不受信任”的Pod，这样CRI-O将会以Kata作为运行时来运行它：

上述Pod运行起来后，你可以在节点上看到Kata容器、QEMU进程。 

子命令	说明
images	列出镜像
pull	拉取镜像，默认配置的默认传输是docker://，因此可以直接使用docker pull语法拉取Docker镜像： Shell 1 crictl pull --creds USERNAME[:PASSWORD] NAME[:TAG|@DIGEST]
inspecti	查看一个或多个镜像的状态： Shell 1 crictl inspecti  docker.gmem.cc/ubuntu:16.04
imagefsinfo	查看镜像的文件系统信息
stats	显示容器用量信息，包括CPU、内存、磁盘、INODES
ps	列出容器
info	显示容器运行时的信息： Shell 1 2 3 4 5 6 7 8 9 10 11 12 13 crictl info 4ae949f913362 {   "status": {     "conditions": [       {         "type": "RuntimeReady", # 运行时状态       },       {         "type": "NetworkReady", # 网络状态       }     ]   } }
create	创建新容器
update	更新运行中的容器
start	启动已经存在的容器
stop	停止容器
exec	在容器中执行命令： crictl exec -it 4ae949f913362 sh
inspect	查看一个或多个容器的状态
logs	查看容器日志
pods	列出Pod
runp	运行一个新的Pod： crictl runp pod-config.yaml
stopp	停止一个Pod，注意必须传入Pod的ID而不是名称
rmp	删除一个Pod，注意必须传入Pod的ID而不是名称