Posted inVirtualization

Kata Containers: Khi bảo mật của VM kết hợp với tốc độ của Container

Virtualization tutorial - IT technology blog
Virtualization tutorial - IT technology blog

Lỗ hổng của Container truyền thống và lý do Kata Containers ra đời

Dùng Docker hay K8s lâu năm, chắc hẳn anh em đều biết “gót chân Achilles” của container là việc dùng chung nhân (kernel) với máy host. Container khởi động nhanh và nhẹ nhờ cơ chế này. Tuy nhiên, nếu hacker chiếm được quyền điều khiển một container, họ có thể khai thác lỗ hổng kernel để thực hiện tấn công “container breakout”. Từ đó, toàn bộ máy chủ sẽ rơi vào tay kẻ xấu.

Trong dàn lab 12 VM chạy Proxmox của mình, việc dùng LXC rất tiện nhưng luôn tiềm ẩn rủi ro khi chạy các image lạ từ Docker Hub. Để giải quyết bài toán này, Kata Containers là phương án mình tin dùng nhất. Nó bọc mỗi container vào một máy ảo siêu nhẹ (microVM). Nhờ đó, ứng dụng vừa có nhân riêng biệt để bảo mật, vừa giữ được trải nghiệm quản lý mượt mà như Docker truyền thống.

Nói cách khác, Kata Containers mang đến sự cô lập an toàn của VM nhưng vẫn giữ được tốc độ triển khai của Container. Dưới đây là cách mình cấu hình nó trên Linux.

Điều kiện phần cứng cần thiết

Kata Containers yêu cầu ảo hóa phần cứng (Hardware Virtualization). Máy chủ của anh em buộc phải hỗ trợ VT-x (Intel) hoặc AMD-V (AMD). Nếu chạy Kata bên trong một VM khác (như Proxmox hoặc AWS EC2), hãy nhớ bật Nested Virtualization.

Kiểm tra nhanh bằng lệnh:

grep -E 'vmx|svm' /proc/cpuinfo

Nếu thấy kết quả trả về, máy đã sẵn sàng. Ở bài này, mình dùng Ubuntu 22.04 làm môi trường thực hành.

Các bước cài đặt Kata Containers chi tiết

1. Cài đặt bản Static Release

Có nhiều cách cài đặt, nhưng để ổn định cho production, mình khuyên dùng bản static release từ GitHub. Cách này giúp kiểm soát chính xác version và tránh xung đột thư viện hệ thống.

# Xác định phiên bản (Ví dụ bản 3.2.0)
export KATA_VERSION="3.2.0"
archive_url="https://github.com/kata-containers/kata-containers/releases/download/${KATA_VERSION}/kata-static-${KATA_VERSION}-x86_64.tar.xz"

# Tải và giải nén trực tiếp vào root
wget ${archive_url}
sudo tar -xvf kata-static-${KATA_VERSION}-x86_64.tar.xz -C /

Hệ thống sẽ đặt các file thực thi vào /opt/kata/bin. Anh em cần tạo link symbolic để Docker có thể gọi lệnh:

sudo ln -s /opt/kata/bin/kata-runtime /usr/local/bin/kata-runtime
sudo ln -s /opt/kata/bin/containerd-shim-kata-v2 /usr/local/bin/containerd-shim-kata-v2

2. Kiểm tra tương thích hệ thống

Đừng vội chạy container ngay. Hãy dùng công cụ kiểm tra tích hợp để xác nhận kernel và phần cứng đã hỗ trợ đầy đủ microVM chưa:

kata-runtime check

Nếu mọi dòng đều báo success, hệ thống đã sẵn sàng thực chiến.

Tích hợp Kata Containers vào Docker

Mặc định Docker dùng runtime là runc. Để sử dụng Kata, chúng ta cần khai báo thêm runtime này trong file cấu hình daemon.json.

Mở file cấu hình:

sudo nano /etc/docker/daemon.json

Thêm đoạn JSON sau:

{
  "runtimes": {
    "kata-runtime": {
      "path": "/usr/local/bin/kata-runtime"
    }
  }
}

Khởi động lại Docker để áp dụng thiết lập:

sudo systemctl restart docker

Trải nghiệm thực tế: So sánh nhân Kernel

Sự khác biệt sẽ hiện rõ khi anh em kiểm tra phiên bản nhân. Hãy thử chạy một container Ubuntu với runtime mặc định:

docker run -it --rm ubuntu uname -a

Kết quả sẽ trùng khớp với phiên bản kernel của máy host.

Bây giờ, hãy chuyển sang Kata:

docker run -it --rm --runtime=kata-runtime ubuntu uname -a

Lúc này, kernel trả về là một phiên bản tối giản do Kata cung cấp. Container của anh em hiện đã nằm an toàn trong một microVM biệt lập.

Lựa chọn Hypervisor: QEMU hay Firecracker?

Điểm mạnh của Kata là cho phép chọn Hypervisor linh hoạt. QEMU là lựa chọn mặc định, hỗ trợ đầy đủ tính năng và thiết bị ngoại vi. Tuy nhiên, nếu anh em cần tối ưu tốc độ, hãy thử Firecracker.

Firecracker (do AWS phát triển) có thể boot một microVM trong chưa đầy 150ms. Nó cực kỳ tiết kiệm tài nguyên nhưng hạn chế về khả năng mount ổ đĩa phức tạp. Để thay đổi, anh em chỉnh sửa file configuration.toml tại /etc/kata-containers/, tìm dòng hypervisor = "qemu" và đổi sang firecracker.

Giám sát tài nguyên và hiệu năng

Lưu ý rằng khi dùng Kata, các tiến trình container sẽ không hiện trực tiếp trên top của máy host. Thay vào đó, anh em sẽ thấy tiến trình qemu-system-x86_64 hoặc virtiofsd quản lý bộ nhớ.

Về tài nguyên, mỗi Kata Container thường tiêu tốn thêm khoảng 100MB – 200MB RAM overhead cho chính microVM đó. Đây là con số cần tính đến khi lập kế hoạch tài nguyên cho server. Để quản lý danh sách microVM đang chạy, hãy dùng lệnh:

kata-runtime list

Lời kết

Kata Containers không sinh ra để thay thế Docker trong mọi tình huống. Nếu chỉ chạy app nội bộ tin cậy, Docker truyền thống vẫn là lựa chọn số một về hiệu năng. Nhưng nếu anh em làm hệ thống CI/CD, SaaS hoặc chạy code từ bên thứ ba, Kata là lớp giáp bảo mật không thể thiếu. Chúc anh em triển khai thành công và ngủ ngon hơn mỗi đêm!

Share:
Tags: