Rocket 希望以硬件隔離引領(lǐng)容器市場，Docker說“NO！”

下一代CoreOS的容器使用基于Intel的硬件隔離來增加安全性。其他容器系統(tǒng)也會如法炮制嗎？

編者注：CoreOS是一個(gè)基于Linux 內(nèi)核的輕量級操作系統(tǒng)，為了計(jì)算機(jī)集群的基礎(chǔ)設(shè)施建設(shè)而生。而Docker 是一個(gè)開源額應(yīng)用容器引擎，采用Docker 來架構(gòu)和部署云服務(wù)器，會使我們的程序變得便捷。

既然Open Container Initiative（OCI）承諾讓所有的容器都殊途同歸， 但是除了Docker，其他容器技術(shù)都停止發(fā)展了嗎？答案是否定的。以CoreOS為例，它正在加速發(fā)展。

CoreOS，利用Docker的許多idea，打造了另一個(gè)容器系統(tǒng)Rocket。一直高調(diào)宣傳以安全和簡單來標(biāo)榜自己的容器特性，Rocket 0.8 （又名rkt）帶來了基于Intel工程設(shè)計(jì)特性，CoreOS聲稱在其他容器上暫時(shí)還沒有發(fā)現(xiàn)。

Rocket 0.8利用了Intel的 Clear Containers項(xiàng)目，它在英特爾芯片中使用VT-x指令集為容器增加硬件隔離。事實(shí)上，Intel利用Rocket為其建立一個(gè)概念驗(yàn)證項(xiàng)目，目前的工作只不過是CoreOS和Intel之間的合作。一個(gè)容器在Rocket 0.8執(zhí)行其整個(gè)進(jìn)程按層級封裝在一個(gè)KVM中，這意味著容器的contents被防火墻從主機(jī)隔離。

這么多隔離聽起來好像有些過分，但是這是對容器安全的持續(xù)關(guān)注。大多數(shù)容器環(huán)境中聲稱提供容器技術(shù)、cgroups 和namespaces隔離。在多租戶環(huán)境中，隔離度是至關(guān)重要的。 

最大的問題是，Rocket'新特性是否被OCI采用。根據(jù)CoreOS CTO  Brandon Philips表示，由CoreOS提議的最初的appc容器規(guī)范涵蓋了容器管理的四個(gè)不同元素：packaging、signing、 naming （sharing the container with others）以及 runtime.。

 “當(dāng)前OCI的焦點(diǎn)主要集中在runtime。雖然我們也在努力讓appc與 OCI協(xié)調(diào)，但他同時(shí)表示也希望OCI規(guī)范應(yīng)該為用戶提供一個(gè)完整的container image story?！?/p>

CoreOS想做個(gè)帶頭人，但Docker也提供Philips概述的一些功能。比如Docker最近公布的 Docker Content Trust，一個(gè)為Docker容器設(shè)計(jì)的簽名和驗(yàn)證機(jī)制。通過使用Content Trust作為一種選擇性機(jī)制來驗(yàn)證內(nèi)容添加到官方Docker Registry，并提供它作為一個(gè)開源的標(biāo)準(zhǔn)，Docker希望以身作則，鼓勵采用。

編者注：本文由時(shí)速云軟件工程師丁麒偉翻譯  Via infoworld

雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見轉(zhuǎn)載須知。