在4月9号结束的 OpenStack 基金会董事会议上，董事们投票批准了 Kata Containers 成为基金会旗下第一个新的顶级开放基础设施（Open Infrastructure）项目，这是该项目的一个重要里程碑。

作为Kata Containers的初创成员之一，华为拥有Kata Containers架构委员会五席位之一和三位maintainer，贡献了支持CNI网络接口、Host Cgroups等特性，参与核心代码重构，并已提交上百个patch，代码贡献量超过3万行，全球排名稳定保持在前四。

2017年，华为EulerOS iSula技术团队成功将Kata Containers集成到iSula容器平台，并于18年初应用于华为云容器服务，推出基于iSulad容器引擎 + Kata Containers的商用容器服务——华为云容器实例CCI（Cloud Container Instance），也是业界首个Serverless架构的云容器服务，正是得益于Kata Containers，使之前一直困扰用户的容器安全问题迎刃而解。

本文将重点介绍基于iSulad容器引擎和Kata Containers如何打造安全、高性能的云容器实例服务。

首先了解华为iSula容器平台，这是华为自研的容器平台，支持双容器引擎和五种不同的容器模式。

双引擎为：

docker引擎：目前流行的docker容器引擎，在Linux上基于namespace及cgroups实现应用之间的隔离，使用Go语言编写而成。
iSulad容器引擎：使用C语言编写而成的华为纯自研容器引擎，相比docker引擎突出的优点是性能高，资源占用小，在边缘计算等资源受控场景下有着非常耀眼的表现。

五种容器形态为：

应用容器：即大家熟知的docker containers。
系统容器：在容器大浪潮中，各种不同类型的业务纷纷进行容器化，期望利用容器“build, ship and run”的能力最大化生产效率。相比微服务应用，传统的基于systemd的重型业务更加难以容器化，系统容器应运而生。系统容器内置systemd作为init进程，可帮助传统业务更轻松完成容器化改造和使用。
轻量化容器：基于LXC打造的轻量化容器占用内存资源极少，主要用于CT或边缘计算等资源受控场景。
高性能低时延容器：使用unikernel技术将应用与定制化内核打包，一方面可以大大减小攻击面增强安全性，同时大幅度提高了应用的运行性能。高性能低延时容器可以为定制化场景提供最佳方案。
Kata容器：融合传统虚拟化技术与容器技术创造的高安全性容器，一方面兼容了繁荣的容器生态，一方面解决了传统容器隔离性不足的安全隐患，这也是华为云容器实例这种Serverless架构下，用户最为关心的问题。

iSula在集成Kata Container优秀特性的同时，还会针对业务场景进行定制化改造。性能问题一直是大多数开源项目被诟病的地方，尤其是在超大型商业应用环境下尤为明显。Kata Containers也不例外，虽然Kata社区提供的技术方案已经可以很好地兼容docker、containerd及crio等容器运行时，但出于性能等方面的考虑，iSula并未直接使用社区方案，而是采用了性能更高的自研发方案。使用iSula自研方案，可以极大缩短软件栈的深度，减少RPC调用开销，更好配合华为云自有高性能网络及存储资源，使得华为云容器服务能为用户提供更高性能的网络及存储方案。

以网络为例，社区开源网络方案如下所示：

Calico、Canal等开源网络软件会将创建的veth网口插入容器的namespace中，在Kata的场景下，容器的Network Namespace中还有一层虚拟化层，需要使用Linux tap设备而无法直接使用veth网卡。因而，Kata提供了几种网络模型用于兼容容器生态中的多种网络方案，包括：

Bridge模式：使用Linux bridge将veth与VM的tap设备桥接起来。
Macvtap模式：创建母设备为veth的macvtap供VM使用。
TC模式：使用Linux TC在veth和tap设备之间做流量的双向转发。

Kata默认的几种网络模型可以保证开源容器CNI网络方案无需修改开箱即用，这种方式足够智能，但灵活性稍显不足，因而华为向社区贡献了一种新的模式：

None模式：Kata不做任何猜测，不智能创建网卡，网络需要用户使用新增的kata-network命令手动创建。

使用none模式给予了用户最大选择权和灵活性，但需要用户自行改造CNI网络插件，相比其他模式有一定使用门槛。好处在于由CNI插件可以直接为容器增删网卡/路由，绕过了veth网卡，缩短了网络拓扑路径长度，为网络性能的提升提供了更大空间。

None模式配合华为自研的容器网络方案，可以保证为容器应用提供最佳网络性能。

了解过iSula，再来看看华为云容器实例（CCI）服务，CCI是基于Serverless架构的Kubernetes容器服务。

真正的Serverless容器服务中，集群管理由云服务提供商承担，客户只需要关注每个应用的容器实例即可。在这种情况下，云服务提供商需要考虑如何在统一管理面下保证每个用户的安全。

CCI服务所属的Kubernetes集群直接部署在裸金属服务器之上，底层是Kata Containers，中间靠iSula容器平台连接。依靠Kata Containers的强隔离特性，多个租户之间的容器运行环境强隔离，不同租户之间的容器不感知、不可见，可以在同一台裸金属服务器上混合部署而安全无虞，若使用docker容器通常认为是存在安全风险的。

同时，CCI这种将Kubernetes直接部署在裸金属服务器上的混合多租模式，配合Kata Containers技术可以最大化资源利用率，降低性能开销，使得用户的内存开销小于64MB，容器实例启动时间小于600ms，从而可以为用户提供高性能低价位的容器服务。借助iSula优化过的网络和存储能力，CCI可以在网络和存储基础资源之上，提供更优性能。

除此以外，基于iSula提供的GPU直通功能，CCI通过该技术提供的GPU容器，用户可直接在容器中使用nvidia的各型号GPU进行AI计算，使得CCI也成为市面上第一个提供GPU算力的Serverless Kubernetes容器服务，并且做到32块GPU线性加速比超过0.95,128块GPU线性加速比超过0.8，在图像识别、自然语言处理、语音识别等领域被广泛使用。

创作场景

基于 Kata Containers 与 iSulad 的云容器实践解析