虚拟化与容器技术

虚拟化 VMware Workstation

虚拟化，通过模拟计算机的硬件，来实现在同一台计算机上同时运行多个不同的操作系统的技术。

在计算机中，虚拟化（英语：Virtualization）是一种资源管理技术，是将计算机的各种实体资源，如服务器、网络、内存及存储等，予以抽象、转换后呈现出来，打破实体结构间的不可切割的障碍，使用户可以比原本的组态更好的方式来应用这些资源。这些资源的新虚拟部分是不受现有资源的架设方式，地域或物理组态所限制。一般所指的虚拟化资源包括计算能力和资料存储。

在实际的生产环境中，虚拟化技术主要用来解决高性能的物理硬件产能过剩和老的旧的硬件产能过低的重组重用，透明化底层物理硬件，从而最大化的利用物理硬件。

特点

虚拟化可以提高 IT 敏捷性、灵活性和可扩展性，同时大幅节约成本。更高的工作负载移动性、更高的性能和资源可用性、自动化运维 - 这些都是虚拟化的优势，虚拟化技术可以使 IT 部门更轻松地进行管理以及降低拥有成本和运维成本。其他优势包括：
降低资金成本和运维成本。
最大限度减少或消除停机。
提高 IT 部门的工作效率、效益、敏捷性和响应能力。
加快应用和资源的调配速度。
提高业务连续性和灾难恢复能力。
简化数据中心管理。
真正的 Software-Defined Data Center 的可用性。

分类

服务器虚拟化
网络虚拟化
桌面虚拟化
虚拟化和云计算

常用的虚拟化软件

• VMware系列
• VMware workstation（适合单台计算机使用）、VMware vsphere（VMware esxi ）、VMware Fusion（Mac）
• Xen 开源 半虚拟化
• XenServer 商业，厂商Ctirx，基于Xen的
• KVM 开源 基于linux内核模块 Hyper-V 商业，厂商微软
• Openvz 开源 基于linux 虚拟机和宿主机共用一个内核
• VirtualBox 开源 Sun公司开发 Oracle收购Sun

架构

目前分为两种，寄居架构（Hosted Architecture）和裸金属架构 (“Bare Metal” Architecture)

寄居架构就是在操作系统之上安装和运行虚拟化程序，依赖于主机操作系统对设备的支持和物理资源的管理;

裸金属架构就是直接在硬件上面安装虚拟化软件，再在其上安装操作系统和应用，依赖虚拟层内核和服务器控制台进行管理。

寄居架构

裸金属架构

kvm 介绍

KVM是以色列初创公司Qumranet开发，2008年9月RedHat公司收购了Qumranet
KVM是Linux内核的一个模块，它把Linux内核变成了一个Hypervisor
KVM是完全开源的，RedHat基于KVM的虚拟化解决方案叫做RHEV
KVM在Linux操作系统里面以进程的形式出现，由标准的Linux调度程序进行调度，这使得KVM能够使用Linux内核的已有功能
只有一个KVM内核模块还不能实现虚拟化的全部功能，就好比操作系统只有内核还不能成为一个完整的操作系统一样
QEMU是一个开源的虚拟化软件，纯软件，可以虚拟化所以的硬件，性能不强
KVM基于QEMU开发了一个能够运行在用户空间的工具QEMU-KVM
磁盘、网络设备等都是通过QEMU-KVM这个工具模拟出来的
KVM和QEMU-KVM通信是通过/dev/kvm实现的
libvirt是用来管理KVM虚拟机的API，其命令为virsh
详细了解点这儿

容器docker

什么是容器

容器（Container）：容器是一种轻量级、可移植，并将应用程序进行打包的技术，使应用程序可以在几乎任何地方以相同的方式运行。

Linux容器（LXC）,LXC系统提供工具来管理容器，具有先进的网络和存储支持，还有最小容器操作系统模版的广泛选择

容器是一种虚拟化的方案，和传统的虚拟机(通过中间层”guerst OS”运行服务)不同，Docker直接运行在操作系统之上。因此容器虚拟化也被称之为操作系统虚拟化。Docker容器依赖于Linux内核特性，Namespace和Cgroups，所以只能运行在Linux之上。
一句话来概括的话，主机级虚拟化就是通过各种各样的手段，把物理资源重新分配，然后抽象出一部分拿来做虚拟机的虚拟硬件，是对硬件的模拟；而容器虚拟化技术相当于把操作系统进行虚拟化，把物理的操作系统模拟为逻辑上的多个操作系统，不同的操作系统有自己的用户空间，实现了应用程序间的隔离。

特点

• 常见的传统虚拟化技术如vSphere或Hyper-V是以操作系统为中心，而Container技术则是一种以应用程序为中心的虚拟化技术。传统虚拟化技术从操作系统层下手，目标是建立一个可以用来执行整套操作系统的沙盒独立执行环境，习惯以虚拟机(Virtual Machine)来称呼。而Container技术则是直接将一个应用程序所需的相关程序代码、函式库、环境配置文件都打包起来建立沙盒执行环境，为了和传统虚拟化技术产生的虚拟机区分，Container技术产生的环境就称为Container。
• 最明显的差别是，虚拟机需要安装操作系统(安装Guest OS)才能执行应用程序，而Container内不需要安装操作系统就能执行应用程序。Container技术不是在OS外来建立虚拟环境，而是在OS内的核心系统层来打造虚拟执行环境，透过共享Host OS的作法，取代一个一个Guest OS的功用。Container也因此被称为是OS层的虚拟化技术。
• Container技术采取共享Host OS的作法，而不需在每一个Container内执行Guest OS，因此建立Container不需要等待操作系统开机时间，不用1分钟或几秒钟就可以启用，远比需要数分钟甚至数十分钟才能开启的传统虚拟机来的快。

比较

Hyper-V、KVM和Xen等虚拟机管理程序都“基于虚拟化硬件仿真机制。这意味着，它们对系统要求很高。” 然而，容器却使用共享的操作系统。这意味着它们在使用系统资源方面比虚拟机管理程序要高效得多。容器不是对硬件进行虚拟化处理，而是驻留在单单一个Linux实例上。这反过来意味着，你可以“丢弃没有用的99.9%的虚拟机垃圾，剩下一个小巧简洁的胶囊式容器，里面含有你的应用程序，”，因此，借助经过全面调优的容器系统，你就可以在同一硬件上拥有数量比使用Xen虚拟机或KVM虚拟机多出四到六倍的服务器应用实例。

Docker目标

• 提供简单轻量级的建模方式（docker的启动是毫秒级的）

• 职责的逻辑分离：开发人员只需要关注容器中运行的程序，运维人员只需要关注对容器的管理。Docker开发提高了开发程序和部署容器的一致性

• 快速高效的开发声明周期：缩短代码从开发、测试到部署上线的生命周期

• 鼓励使用面向服务的架构：docker推荐单个容器只运行一个应用程序/进程，这样就形成了一个分布式的应用程序模型，避免服务之间的互相影响。实现 高内聚，低耦合。

Docker缺陷

不安全 不利于调整 性能优化

kata-container

概述

kata containers是由OpenStack基金会管理，但独立于OpenStack项目之外的容器项目。kata containers整合了Intel的 Clear Containers 和 Hyper.sh 的 runV，能够支持不同平台的硬件 （x86-64，arm等），并符合OCI(Open Container Initiative)规范，同时还可以兼容k8s的 CRI（Container Runtime Interface）接口规范。项目包含几个配套组件，即Runtime，Agent， Proxy，Shim等。项目已于6月份release了1.0版本。

从docker架构上看，kata-container和原来的runc是平级的。大家知道docker只是管理容器生命周期的框架，真正启动容器最早用的是LXC，然后是runc，现在也可以换成kata了。所以说kata-container可以当做docker的一个插件，启动kata-container可以通过docker命令。Kata最大的亮点是解决了传统容器共享内核的安全和隔离问题，办法是让每个容器运行在一个轻量级的虚拟机中，使用单独的内核。

Kata Container 是两个现有的开源项目合并：Intel Clear Containers和Hyper runV。
Intel Clear Container项目的目标是通过英特尔®虚拟化技术（VT）解决容器内部的安全问题，并且能够将容器作为轻量级虚拟机（VM）启动，提供了一个可选的运行时间，专注于性能（<100ms启动时间），可与Kubernetes 和Docker 等常用容器环境互操作。英特尔®Clear Container表明，安全性和性能不必是一个折衷，将硬件隔离的安全性与容器的性能可以兼得。

docker 默认使用 runC 创建容器，所以可以在kata container可以在docker container外面再包一层VM，实现安全性。
k8s 为pods创建服务的传统方法是采用docker创建容器，由容器提供pods服务，但现在可以通过kata container创建VM，在VM中再创建pods服务，更安全。pods是一个或多个container。

总结

docker容器，性能高，不安全；
VM虚拟化，安全性好，性能损耗大；
Kata Container轻量级虚拟机的容器，即安全，性能也高。
开源容器项目Kata Containers，旨在将虚拟机（VM）的安全优势与容器的速度和可管理性统一起来。