Аналоги gVisor

Podman

Бесплатно
Открытый исходный код
Windows
macOS
Linux

Podman — это инструмент управления контейнерами, который позволяет пользователям создавать, запускать и управлять контейнерами без необходимости использования демона, что отличает его от традиционных решений, таких как Docker. Он поддерживает возможность создания контейнеров на основе образов, а также обеспечивает функции безопасности с помощью изоляции, похожей на gVisor, позволяя запускать незнакомые или ненадежные приложения с ограниченными правами доступа к хост-системе. Podman также предлагает полную совместимость с OCI (Open Container Initiative) контейнерами и обеспечивает возможность использования контейнеров как безпользовательских, так и с пользовательскими правами, что делает его удобным для широкого спектра сценариев использования в DevOps и облачных вычислениях.

Docker

Бесплатно
Открытый исходный код
Windows
macOS
Linux

Docker — платформа для автоматизации развёртывания, масштабирования и управления приложениями в контейнерах, обеспечивающая упаковку приложений и их зависимостей в изолированные пользовательские пространства, совместимые с Linux и Windows; включает в себя демон для управления контейнерами, формат образов, реестр для хранения образов и инструменты командной строки, поддерживает создание лёгких изолированных сред посредством использования пространств имён и cgroups ядра, обеспечивает переносимость и повторяемость развёртываний, интеграцию с системами оркестрации и CI/CD, а также расширяемую архитектуру с плагинами для сетей и хранилищ, при этом уровень изоляции ориентирован на удобство разработки и эксплуатации, а не на строгую безопасность на уровне виртуализации гипервизора.

OpenVZ

Бесплатно
Открытый исходный код
Linux

OpenVZ — это виртуализационная технология на основе контейнеров для операционной системы Linux, позволяющая запускать несколько изолированных экземпляров на одном физическом сервере. Она использует единое ядро системы, что обеспечивает низкие накладные расходы и высокую производительность по сравнению с традиционной виртуализацией на уровне гипервизора. OpenVZ предоставляет возможности управления ресурсами, такие как лимитирование и распределение CPU, памяти и сетевых ресурсов между контейнерами, что делает его подходящим для облачных вычислений и хостинга приложений.

Firecracker

Бесплатно
Открытый исходный код
Linux

Firecracker — это легковесный гипервизор, разработанный компанией Amazon Web Services (AWS), предназначенный для запуска и управления контейнеризованными приложениями в микросервисной архитектуре. Firecracker обеспечивает минимальные накладные расходы на ресурсы и быстрое время запуска виртуальных машин, сосредотачиваясь на безопасности и изоляции. Он использует архитектуру микроядерного гипервизора, что позволяет эффективно исполнять оптимизированные версии виртуальных машин (разделяемых между различными контейнерами) в обширных облачных средах. Основное применение Firecracker находит в инфраструктурах с высокой плотностью развертывания и в серверахless-архитектурах, таких как AWS Lambda и Amazon EC2.

runc

Бесплатно
Открытый исходный код
Linux

Runc — это инструмент с открытым исходным кодом, предназначенный для выполнения контейнеров в операционных системах на базе Linux. Он служит основным компонентом экосистемы Docker и поддерживает выполнение контейнеров в соответствии со стандартом Open Container Initiative (OCI). Runc предоставляет низкоуровневый интерфейс для запуска и управления контейнерами, облегчая взаимодействие с ядром Linux и ресурсами системы. Подобно gVisor, runc фокусируется на безопасности и изоляции процессов, однако, в отличие от gVisor, он не реализует дополнительные уровни абстракции и виртуализации, предлагая более прямой доступ к системным функциям.

Kata Containers

Бесплатно
Открытый исходный код
Linux

Kata Containers — это проект, разрабатываемый с целью предоставления легковесных контейнеров, которые обеспечивают безопасность и изоляцию, подобные виртуальным машинам, при этом сохраняя высокую производительность контейнеров. Он использует легковесные виртуальные машины, которые могут работать в рамках существующих контейнерных оркестраторов, таких как Kubernetes. Kata Containers обеспечивает изоляцию на уровне аппаратного обеспечения, что позволяет запускать контейнеры в защищенной среде, предотвращая возможность доступа к другим контейнерам и хост-системе. Этот проект служит аналогом gVisor и направлен на улучшение безопасности при развертывании приложений в контейнерах, обеспечивая гибкость и совместимость с современными контейнерными экосистемами.

Singularity

Бесплатно
Windows
macOS
Linux
Android
iOS

Singularity — это проект, разработанный с целью создания легковесного контейнера для выполнения приложений в изолированных средах. Он ориентирован на использование в облачных окружениях и предоставляет пользователям возможность запускать высоконагруженные и производительные рабочие нагрузки, обеспечивая при этом безопасность и пороги доступа. Singularity поддерживает различные технологии виртуализации и контейнеризации, что делает его альтернативой таким решениям, как gVisor, предоставляя гибкость в интеграции с существующими портфельными инструментами и рабочими процессами.

Nabla Containers

Бесплатно
Открытый исходный код
Linux

Nabla Containers — это проект, представляющий собой облегченную контейнеризацию с акцентом на безопасность, разработанный компанией Nabla. Он использует технологию виртуализации для изоляции приложений, минимизируя при этом взаимодействие с хостовой операционной системой. Nabla Containers аналогичен gVisor, обеспечивая уровни безопасности и изоляции, которые позволяют запускать контейнеры в защищённой среде без необходимости полного использования традиционных виртуальных машин. Это делает его подходящим для облачных приложений и микросервисной архитектуры, где защита от потенциальных уязвимостей является приоритетом.

gVisor

Бесплатно
Открытый исходный код
Linux

Сайт: gvisor.dev

gVisor — программное решение для изоляции рабочих нагрузок, разработанное компанией Google. Оно реализует пользовательское пространство ядра (user-space kernel), перехватывая и обрабатывая системные вызовы приложений с целью создания дополнительного уровня изоляции между приложением и хост-системой. gVisor предназначен для безопасного запуска контейнеров и неподтверждённого кода, сочетая подходы традиционных виртуализационных технологий и механизмов песочницы для минимизации привилегий, доступных исполняемому коду.

Проект возник как ответ на потребность в более лёгкой по накладным расходам альтернативе виртуальным машинам при сохранении высокого уровня безопасности. В отличие от гипервизоров gVisor не эмулирует полный аппаратный стек, а в отличие от простых фильтров системных вызовов реализует собственную среду выполнения, реализующую значительную часть поведения ядра. В результате обеспечивается более строгая изоляция, чем у традиционных контейнерных технологий, при более низкой стоимости по сравнению с полноценной виртуализацией.

  • User-space kernel: реализует обработку системных вызовов в пространстве пользователя, уменьшая прямой доступ контейнера к ядру хоста.
  • Изоляция процесса: ограничивает воздействие вредоносного или ошибочного кода на остальную систему путём контроля операций ввода-вывода и управления ресурсами.
  • Совместимость с контейнерами: проект ориентирован на работу с существующими контейнерными образами и инструментами оркестрации, предоставляя альтернативу без значительной переработки приложений.
  • Гибридный подход: сочетает элементы виртуализации и песочницы, обеспечивая баланс между безопасностью и производительностью.
  • Конфигурируемость: позволяет настраивать политики безопасности и ограничения для отдельных рабочих нагрузок.
  • Аудируемость и минимизация доверия: уменьшает поверхность атаки за счёт явного контролирования системных вызовов и минимизации доверия к хост-ядру.
  • Производительность: ориентирован на снижение накладных расходов по сравнению с виртуальными машинами за счёт частичной эмуляции функций ядра и оптимизаций исполнения.
  • Типичные сценарии использования: запуск многопользовательских сервисов, выполнение неподтверждённого или третьестороннего кода, усиление безопасности в средах оркестрации контейнеров.
Подробнее