5分で振り返るKubeCon EU 2019：ランタイムとイメージの話題ダイジェスト

Copyright©2018 NTT corp. All Rights Reserved.
2019/5/30
日本電信電話株式会社
ソフトウェアイノベーションセンタ
徳永航平
Docker Meetup Tokyo #30
5分で振り返るKubeCon EU 2019：
ランタイムとイメージの話題ダイジェスト

2Copyright©2018 NTT corp. All Rights Reserved.
自己紹介
名前徳永航平
所属 NTT ソフトウェアイノベーションセンタ
興味コンテナランタイム、イメージ

KubeCon+CloudNativeCon EU 2019
May 20 – 23, 2019
@Fira Gran Via, Barcelona, Spain
ランタイム・イメージ中心に情報収集をしてきました
 それら話題のうちのいくつかを紹介します。
 各セッションについては、特に印象深かった話題を扱います。完
全な内容はYoutube上のセッション動画等をご参照ください。各
スライドに動画URLを掲載しました。

目次
イメージランタイム
ランタイム紹介
セキュリティ
マイグレーション
イメージビルダ
セキュリティ
イメージ配布技術

目次
セキュリティ
イメージビルダ
セキュリティ

Session
ランタイム紹介系セッション
Let's Try Every CRI Runtime Available for Kubernetes. No, Really!
- Phil Estes, IBM
Let's Try Every CRI Runtime Available for Kubernetes. No, Really! - Phil Estes, IBM. https://www.youtube.com/watch?v=FKoVztEQHss ;
Intro + Deep Dive: containerd - Wei Fu, Alibaba & Mike Brown, IBM.https://www.youtube.com/watch?v=mX0YCODcBZo
主流のランタイム。ツー
ルが充実している一方、
k8sの要求以上の機能を
持ちリソースも多く消費。
Dockerの一部として既
に使われている。
Docker socketを持たな
いが省リソース高拡張性。
OpenShiftなどで使われ
る。k8sのランタイムと
して必要な最小限の機能
を持つ。拡張性は限定的。
OpenStack配
下。 K V M /
qemuベースの
VMをPodとし
て使うセキュア
ランタイム。
Rustで書かれた
軽量 V M M 。
s hi m を用いて
containerdと統
合。 serverless
領域を志向。
ユーザ空間カー
ネルでsyscall
発行数を削減し
たランタイム。
Google Cloud
R u n に導入。
H P C / 学術に
フォーカス。
rootless実行可。
最近OCIに対応
し、専用のCRI
実装もあり。
unikernelを用
い、syscall発
行数を削減した
ランタイム。専
用にビルドした
イメージ必要。
Kata
Containers
Firecracker gVisor Singularity
Nabla
Containers
New!

Session
Kata
VMM
kind: Pod
spec:
runtimeClassName: kata
…
Pod毎にランタイムを指定可
ランタイムセキュリティ系セッション
Surviving Serverless Battle By Secure Runtime, CRI and RuntimeClass
- Xiaoyu Zhang & Lei Zhang, Alibaba
Tailor-Made Security: Building a Kubernetes Specific Hypervisor
- Samuel Ortiz, Intel & Andreea Florescu, Amazon
Surviving Serverless Battle By Secure Runtime, CRI and RuntimeClass - Xiaoyu Zhang & Lei Zhang. https://www.youtube.com/watch?v=2_je65FCltk ;
Tailor-Made Security: Building a Kubernetes Specific Hypervisor - Samuel Ortiz & Andreea Florescu. https://www.youtube.com/watch?v=t41Bh_sIVDQ
※Kubernetesと高レ
ベルランタイム側で、
事前に設定が必要
…
※KnativeやKubeless
などのservelessプロ
ジェクトにおいては
RuntimeClass未対応
RuntimeClass
gVisor Nabla runc
NEMU
Firecracker
デフォルト。幅広く
あらゆるデバイスに
も対応するが大きす
ぎて攻撃面が広い。
QEMU
QEMUに対し、クラ
ウドのワークロード
向けにサポートする
機能を絞ったもの。
Serverless向けに非
常に限定的な機能の
み提供。コードベー
スは小さい。
VMMの選択肢
…

Session
Dockerからcontainerdへのマイグレ
Lessons Learned Migrating Kubernetes from Docker to containerd Runtime
- Ana Calin, Paybase
Lessons Learned Migrating Kubernetes from Docker to containerd Runtime - Ana Calin, Paybase. https://www.youtube.com/watch?v=uDOu6rK4yOk
Azure AKS、GKEで
containerdがサポー
トされている。発表
では G K E 上で
containerdを利用す
るためのコマンド実
行手順を紹介。
性能の定量比較を示
し、Pod起動レイテ
ンシはcontainerdの
方が低く、CPU,メモ
リ使用量についても
containerdの方が低
く抑えられると紹介。
Dockerほど多くの
サポートツールのな
い c o n t a i n e r d
においてトラブル
シュート時に有用な
ツールとしてctr、
crictlコマンドを紹介。
機能の削減された
containerdの方が
Dockerに比べ攻撃
面が小さい。またセ
キュリティ監査も受
けているためセキュ
アである点を強調。
マイグレ方法有用ツール性能比較セキュリティ
Dockerとcontainerdをマイグレーションの観点から比較

目次
セキュリティ
イメージビルド
セキュリティ

Session
イメージビルド系セッション
Building Images Efficiently and Securely on Kubernetes with BuildKit
- Akihiro Suda, NTT Corporation
Rootless, Reproducible, and Hermetic: Secure Container Build Showdown
- Andrew Martin, Control Plane
Building Images Efficiently and Securely on Kubernetes with BuildKit - Akihiro Suda, NTT Corporation.
https://www.youtube.com/watch?v=JKbPzUnAZ1Y ; Rootless, Reproducible, and Hermetic: Secure Container Build Showdown - Andrew
Martin, Control Plane. https://www.youtube.com/watch?v=IpMPRC-ybJI
コンテナをセキュアにビルドするための観点
ホスト上でランタイム
などがrootユーザにな
らない。また、ビルド
時のRUNコマンドが
namespace内でroot
権限を持たない。
rootless
ビルド中に非決定的な
外部ネットワークを利
用しない。どこでビル
ドしても全く同じ結果
を得る。また署名可能
にし改ざんを防止する。
再現性
各ビルドコンテキスト
が独立に隔離されてお
り互いの状態に影響さ
れない。マルチテナン
ト時にビルド基盤を共
有可能になる。
気密性
いろいろなビルドツールの紹介
Buildkit Img LXC umoci
buildah makisu Bazel
Google
Cloud Build
Kaniko
どれもrootlessだが再現性、気密性には課題がある

Session
イメージセキュリティ系セッション
Reenforce Kubernetes Image Isolation in Multi-Tenant Service
- Eric Lin, Alibaba
Reenforce Kubernetes Image Isolation in Multi-Tenant Service - Eric Lin, Alibaba. https://www.youtube.com/watch?v=s0L2jej28k4
Kubernetes namespaceに応じてイメージ集合を隔離する試み
 ノード上にpullされたイメージはK8s namespace毎に隔離されない
 一旦pullされたイメージはどのユーザも認証無しに実行できてしまう
 PodSeculityPolicyのAllwaysPullはあまり有用でないらしい？
ns1 ns2 ns3
containerdのns間の
イメージの共有ポリシを
設定できるようパッチ投稿
CRI経由でns情報を
containerdが受取れる
ようパッチ投稿

Session
イメージ配布技術セッション
P2P Docker Image Distribution in Hybrid Cloud Environment with Kraken
- Yiran Wang & Cody Gibb, Uber
P2P Docker Image Distribution in Hybrid Cloud Environment with Kraken - Yiran Wang & Cody Gibb, Uber.
https://www.youtube.com/watch?v=waVtYYSXkXU , https://static.sched.com/hosted_files/kccnceu19/f0/Kraken%20KubeCon%20Talk.pdf
 平均1GBのイメージを使い、10GBに達することもよくある
 バッチジョブを行うときO(10k)ものdocker pullが平行に発生する
 大量のホストマシンをメンテ時、それに伴いO(1k)ものpullが発生
 複数のクラスタ間でレプリケーションを行う
Uberのイメージまわりのユースケース
ピーク時は20000個の100MB-1GBのblob（総量2T～20TB？）が30秒で転送される
docker pullの高速化とレジストリのスケールをねらうUberのP2Pイメージ配布技術
Kraken
※発表資料より図を引用

まとめ
セキュリティ
イメージビルド
セキュリティ
FirecrackerやSingularity
が新たな選択肢に。
RuntimeClassが有用。
KataのVMMの選択肢も増えた。
Dockerからcontainerdへのマイグレで
省リソース・セキュリティを狙える。
Buildkitをはじめとしセキュアで
ハイパフォーマンスばビルダがある。
ノード上のイメージもk8sのnsに
対応して隔離する試みがある。
P2Pイメージ転送によりpullの高速化
とレジストリのスケールを狙える。
OCI Registry Artifactのミーティングにも参加
レジストリにHelm chartやCNAB bundle等
なんでも格納できるようなOCI仕様を作る試み
https://github.com/AzureCR/distribution-spec/blob/artifact-registry/artifacts.md

5分で振り返るKubeCon EU 2019：ランタイムとイメージの話題ダイジェスト

Recommended

Recommended

More Related Content

What's hot

What's hot (20)

Similar to 5分で振り返るKubeCon EU 2019：ランタイムとイメージの話題ダイジェスト

Similar to 5分で振り返るKubeCon EU 2019：ランタイムとイメージの話題ダイジェスト (20)

More from Kohei Tokunaga

More from Kohei Tokunaga (13)

5分で振り返るKubeCon EU 2019：ランタイムとイメージの話題ダイジェスト