Container Service for Kubernetes:サンドボックスコンテナの概要

サンドボックスコンテナは、Alibaba Cloud によって開発されたコンテナセキュリティランタイムです。 サンドボックスコンテナ V1 と比較して、サンドボックスコンテナ V2 は同じ隔離パフォーマンスを維持し、ポッドのオーバーヘッドを 90% 削減します。 また、サンドボックスコンテナを 3 倍速く起動でき、ホストにデプロイできるポッドの最大数を 10 倍に増やすことができます。 サンドボックスコンテナ V2 は、次の主な機能を提供します。

• サンドボックス化された軽量 VM に基づく強力な隔離。

• アプリケーション管理に関して runC との互換性。

• runC ベースのアプリケーションのパフォーマンスの 90% に相当する高パフォーマンス。

• File Storage NAS (NAS) ファイルシステム、Alibaba Cloud ディスク、および OSS バケットは、virtio-fs を介してサンドボックスコンテナにマウントできます。 NAS ファイルシステムは、サンドボックスコンテナに直接マウントすることもできます。

• ロギング、監視、およびストレージに関して runC と同じユーザーエクスペリエンス。

• RuntimeClass (runC および runV) のサポート。 詳細については、「RuntimeClass」をご参照ください。

• 最小限の技術スキル要件で使いやすさ。

• オープンソースの Kata Containers ランタイムと比較して、安定性が向上しています。 Kata Containers の詳細については、「Kata Containers」をご参照ください。

シナリオ 3：マルチテナントサービス

複数の事業部門または部門で構成される企業のアプリケーションを隔離する必要がある場合があります。 たとえば、財務部門には高セキュリティアプリケーションが必要です。 ただし、セキュリティに依存しない他のアプリケーションには、高いセキュリティ要件はありません。 runC のコンテナは、信頼できないアプリケーションで発生する潜在的なリスクを排除できません。 このシナリオでは、次の対策を実施できます。

• 複数の独立したシングテナントクラスタをデプロイします。 たとえば、財務業務とセキュリティに依存しない他の業務を異なるクラスタにデプロイします。

• マルチテナントクラスタをデプロイし、名前空間を使用して異なる事業部門のアプリケーションを分離します。 ノードのリソースは、単一の事業部門専用です。 このソリューションは、リソースクォータとネットワークポリシーとの調整のためのデータ隔離を提供して、マルチテナント隔離を実装します。 複数のシングテナントクラスタと比較して、このソリューションは管理プレーンを少なくすることに重点を置いているため、管理コストが削減されます。 ただし、このソリューションでは、一部のテナントのリソース使用率が低いためにノードで発生するリソースの浪費を防ぐことはできません。

サンドボックスコンテナを使用すると、サンドボックス化された仮想マシンを使用して信頼できないアプリケーションを隔離できます。 これにより、コンテナエスケープのリスクを防ぎます。 また、各ノードに異なるコンテナ化アプリケーションをデプロイすることもできます。これには、次の利点があります。

• リソーススケジューリングが簡素化されます。

• ノードはサービス専用ではなくなります。 これにより、ノードリソースの使用率が向上し、リソースフラグメントとクラスタリソースコストが削減されます。

• サンドボックスコンテナは軽量仮想マシンを使用するため、runC のコンテナとほぼ同じパフォーマンスが得られます。