- 相關(guān)推薦
關(guān)于容器虛擬化技術(shù)研究
引言
操作系統領(lǐng)域一直以來(lái)面臨的一個(gè)主要挑戰來(lái)自于應用程間存在的相互獨立性和資源互操作性之間的矛盾，即每個(gè)應用程序都希望能運行在一個(gè)相對獨立系統環(huán)境下，不受其他程序的干擾，同時(shí)又能以方便快捷的方式與其他程序交換和共享系統資源[4]。當前面向個(gè)人計算機的通用操作系統更強調程序間的互操作性，而缺乏對程序間相對獨立性的有效支持。
虛擬化技術(shù)因其具有同時(shí)運行多個(gè)相對獨立操作系統的能力而被用來(lái)克服上述挑戰。VMware 和Xen 等虛擬化主流產(chǎn)品均采用Hypervisor 模型。該模型通過(guò)將應用程序運行在多個(gè)不同虛擬機內，實(shí)現對上層應用程序的隔離[2]。但由于Hypervisor 模型更傾向于每個(gè)虛擬化都擁有一份相對獨立的系統資源，提供相對完全的獨立性支持，這種策略造成處于不同虛擬機內的應用程序間實(shí)現互操作非常困難。例如，即使是運行在同一臺物理機器上，如果處于不同虛擬機內，那么應用程序間仍然只能通過(guò)網(wǎng)絡(luò )進(jìn)行數據交換，而非共享內存或者文件。
Hypervisor 模型這種強獨立性保障策略在一定程度上犧牲系統的執行效率。對于高性能計算、web 服務(wù)、數據庫、游戲平臺和分布式系統等許多應用領(lǐng)域，提供高效的資源互操作性同保持程序間的相對獨立性具有同等重要的意義[4]。因此就提出了一種基于資源與安全器概念的虛擬化技術(shù)，能夠在滿(mǎn)足基本的獨立性需求的同時(shí)提供高效的系統資源共享支持。
1 資源容器
當前比較流行的高性能服務(wù)器程序通常是一個(gè)資源主體對應多個(gè)資源消費者的模式，如事件觸發(fā)模式（Event-Driver），或者是多個(gè)資源主題對應多個(gè)資源消費者的模式，如CGI程序。這樣造成準確估算出單個(gè)資源消費者所使用的資源量變得非常困難，從而無(wú)法很好的進(jìn)行資源管理和控制。例如，在多線(xiàn)程服務(wù)器上，一個(gè)應用實(shí)例對應于一個(gè)可以執行多種獨立行為的進(jìn)程，這個(gè)進(jìn)程擁有所有屬于它的資源。但在使用線(xiàn)程完成單個(gè)任務(wù)時(shí)，其所使用到的資源往往只是這個(gè)進(jìn)程所屬資源的一個(gè)子集。由于對資源的控制粒度只能細化到進(jìn)程級別，因此不可能對單個(gè)線(xiàn)程進(jìn)行獨立的資源控制。而對需要多線(xiàn)程協(xié)作完成的任務(wù)進(jìn)行資源的統計和控制就更加的難以實(shí)現[3]。其他主要的限制來(lái)自于資源控制范圍、線(xiàn)程調度策略和任務(wù)涉及線(xiàn)程差異等在內的多個(gè)方面。例如，系統很少對網(wǎng)絡(luò )資源的使用進(jìn)行控制，必然造成對涉及網(wǎng)絡(luò )使用的進(jìn)程的資源統計數據的變差，進(jìn)面造成資源調度的不準確。
為此提出了延時(shí)處理機制，將進(jìn)程視為完成某個(gè)任務(wù)的核心，將網(wǎng)絡(luò )等資源的使用和進(jìn)程相聯(lián)系起來(lái)，從而提高了資源統計的精確度。但該機制仍然無(wú)法徹底解決線(xiàn)程不是資源控制和統計單元的問(wèn)題。
資源容器的概念最早出現在1999 年G.Banga 等發(fā)表的論文中[7]，主要是為了提高應用程序對系統資源的控制和管理能力�；谫Y源容器的系統可以把系統中的資源主體從運行主體即進(jìn)程中剝離出來(lái)，從而達到對系統資源進(jìn)行更精確和高效控制的目的，作為抽象的操作系統載體，資源容器可以擁有一個(gè)或多個(gè)進(jìn)程在完成某個(gè)任務(wù)過(guò)程中所使用的所有資源。因此，資源主體不再靜態(tài)地綁定到進(jìn)程。進(jìn)程及其產(chǎn)生的線(xiàn)程與資源主體的關(guān)系是動(dòng)態(tài)的、可調整的。甚至來(lái)自多個(gè)不同進(jìn)程的線(xiàn)程也可以同時(shí)屬于一個(gè)資源容器。資源容器與任務(wù)相對應，記錄下任務(wù)在執行過(guò)程中所消耗的所有的資源，包括CPU、內存和網(wǎng)絡(luò )等。這樣就可以根據這些信息實(shí)現對資源的全理調度和控制[1]。資源容器通過(guò)引入子資源容器概念可以將任務(wù)分解并歸類(lèi)以容器組進(jìn)行管理，子資源依照一定的規則實(shí)現資源的共享，提高靈活性。
2 安全容器
克服資源共享帶來(lái)的安全隱患的有效方法，是采用一套可靠的訪(fǎng)問(wèn)控制機制來(lái)防止非法的資源共享。強制訪(fǎng)問(wèn)控制(MAC)是早期較有影響的訪(fǎng)問(wèn)控制機制，它通過(guò)在所有的系統對象上添加有管理員制定的安全策略來(lái)限制正在執行的程序的訪(fǎng)問(wèn)權限，從而阻止惡意程序破壞的傳播。該方法存在許多限制，首先由于采用了基于安全分級的安全機制，因此只能實(shí)現一些普遍的安全策略，無(wú)法針對單個(gè)程序提出不同的安全策略。其次，它對數據和程序的完整性，以及程序的職能范圍無(wú)法進(jìn)行有效的控制。在此基礎上提出一種名為Flask 的MAC[6]
架構，實(shí)現了將安全策略邏輯與安全機制的分離，從而能夠提供更加便捷的安全策略設置和調整，以滿(mǎn)足不同程序對安全策略的要求。通過(guò)引入域、角色和類(lèi)型等概念實(shí)現對安全策略的細化和精確定制。虛擬化技術(shù)因其卓越的進(jìn)程和系統資源隔離能力在發(fā)展的初期就被用來(lái)實(shí)現對應用程序的訪(fǎng)問(wèn)控制，將應用程序置于相對獨立的運行環(huán)境中，由虛擬機監控依照管理員制定的策略實(shí)現程序間的訪(fǎng)問(wèn)控制。
上述這些訪(fǎng)問(wèn)控制機制的實(shí)現，往往都依賴(lài)于操作系統本身提供的基于保障機密性和完整性的信息隔離機制。但是，這種信息隔離機制卻可能被不法程序通過(guò)特殊手段繞過(guò)，使得訪(fǎng)問(wèn)機制形同虛設，而直接對上層應用程序實(shí)施篡改和攻擊。造成這些潛在威脅的根源在于訪(fǎng)問(wèn)控制機制未能從操作系統中剝離出來(lái)。
通過(guò)對資源容器的借鑒，提出了安全容器的概念。其核心思想在于將訪(fǎng)問(wèn)控制機制從操作系統中剝離出來(lái)獨立于運行環(huán)境，依據不同的安全策略形成虛擬的安全容器。在資源容器的基礎上，對包括系統進(jìn)程、文件系統、網(wǎng)絡(luò )和進(jìn)程間通信等在仙的系統資源進(jìn)行訪(fǎng)問(wèn)控制。
每個(gè)應用程序被置于一個(gè)獨立的運行環(huán)境中，各自擁有自己獨立的文件系統（整個(gè)文件系統的一個(gè)子集），網(wǎng)絡(luò )和設備則根據需要虛擬出來(lái)，進(jìn)程間的通信也被嚴格地控制。各個(gè)程序就像運行在一個(gè)安全的容器里面，具有較強的訪(fǎng)問(wèn)控制能力。
3 基于容器的虛擬化技術(shù)
基于容器的系統需要一個(gè)共享的虛擬操作系統鏡像。鏡像中包括一個(gè)唯一的根文件系統，一系列可執行系統文件和庫文件，以及其他建立虛擬機所需的資源。任意一個(gè)虛擬機都可以像單機的操作系統一樣進(jìn)行重啟、關(guān)機等操作。
如所示，基于容器的系統架構由兩個(gè)平臺組成：宿主平臺和虛擬平臺。宿主平臺主要由一個(gè)共享的操作系統鏡像和一個(gè)特權級虛擬機組成。管理員通過(guò)特權級虛擬機對客戶(hù)虛擬機進(jìn)行管理。虛擬平臺由若干個(gè)客戶(hù)虛擬機組成，在客戶(hù)虛擬機平臺上運行的程序與直接運行在物理機上的程序在行為上沒(méi)有本質(zhì)差別。上面所述的一些基于容器的系統特性和Hypervisor 模型下的虛擬機的系統特性類(lèi)似，而它們的主要區別在于實(shí)現程序獨立性的方法�；谌萜鞯南到y在實(shí)現安全獨立性時(shí)直接使用了操作系統的內部對象（如PID、UID 等）。
如何安全地使用這些對象需要遵循以下兩個(gè)要點(diǎn)：命名空間的分開(kāi)；控制訪(fǎng)問(wèn)（如使用過(guò)濾器）。在實(shí)現“命名空間分開(kāi)”上，全局的標識符保存在完全不同的空間內，并且各自虛擬機空間獨立的標識符。對于“控制訪(fǎng)問(wèn)”的實(shí)現，主要依靠對虛擬機訪(fǎng)問(wèn)內核對象權限進(jìn)行動(dòng)態(tài)檢查。在Hypervisor 系統中安全獨立性的實(shí)現也是通過(guò)命名空間和訪(fǎng)問(wèn)控制來(lái)實(shí)現的，但更多的是基于包括虛擬內存空間、PCI 總線(xiàn)地址和特權指令等在內的硬件層�；谌萜鞯南到y和基于Hypervisor 模型的系統在資源獨立性的實(shí)現上大致一致，都需要將諸如CPU 周期、I/O 帶寬等物理資源進(jìn)行虛擬產(chǎn)生多份虛擬資源[5]。Hypervisor 系統比較有代表性的Xen虛擬機監控系統和基于容器系統的Linux-VServer 系統都是通過(guò)宿主虛擬機來(lái)管理網(wǎng)絡(luò )和硬盤(pán)I/O 的，兩個(gè)系統的差別僅僅在于它們如何映射資源。
4 結論
基于容器的虛擬化技術(shù)借鑒了安全容器的思想，在使用資源容器實(shí)現資源共享的基礎上通過(guò)安全容器技術(shù)實(shí)現對共享資源的有效訪(fǎng)問(wèn)控制。按照不同的安全對象，諸如域、應用程序和虛擬機等分配不同的可訪(fǎng)問(wèn)資源形成虛擬的安全容器，防止其他對象對其資源進(jìn)行惡意的、未授權的訪(fǎng)問(wèn)。同時(shí)它也借鑒資源容器的核心思想，將系統中的資源主體（即虛擬機）中剝離出來(lái)，從而達到在虛擬化技術(shù)上對系統資源進(jìn)行精確和高效控制的目的。虛擬機監控器負責對系統中所有的資源容器進(jìn)行管理和控制，根據用戶(hù)配置以及系統資源使用的實(shí)際情況進(jìn)行合理分配和回收，實(shí)現跨虛擬機的進(jìn)程間資源共享。但這樣的資源控制機制仍然存在安全隱患。
中國碩士論文網(wǎng)提供大量免費碩士畢業(yè)論文,如有業(yè)務(wù)需求請咨詢(xún)網(wǎng)站客服人員！
[參考文獻] (References)
[1] 孫世昶，李忠明. XEN 虛擬機系統直接IPO 訪(fǎng)問(wèn)機制的研究與實(shí)現[J]. 大連民族學(xué)院學(xué)報, 2007, 38(3):30～33.
[2] 董向軍，張恩剛，張沛，等. 桌面虛擬化技術(shù)研究[J]. 中國信息界, 2012, 140(4): 50～52.
[3] 胡冷非，李小勇. 基于Xen 的I/O 準虛擬化驅動(dòng)研究[J]. 計算機工程, 2012, 35(23): 258～262.
[4] 黃景昌. Xen 虛擬化技術(shù)簡(jiǎn)述[J]. 軟件園科技浪潮, 2007, 57(6): 43～45.
[5] 李勇，胡偉. 虛擬機xen 體系結構分析[J]. 科技風(fēng), 2012, 43(6): 73.
[6] 魯松. 計算機虛擬化技術(shù)及應用[M]. 北京：機械工業(yè)出版社，2012.
[7] 金海. 計算機虛擬化-原理及應用[M]. 北京：清華大學(xué)出版社，2012.
【容器虛擬化技術(shù)研究】相關(guān)文章：
環(huán)境藝術(shù)設計虛擬現實(shí)技術(shù)研究論文11-14
試論計算機虛擬化技術(shù)及其應用11-30
企業(yè)信息化安全技術(shù)研究01-08
虛擬化圖書(shū)館在高校數字化圖書(shū)館建設中的作用03-20
基于X3D的虛擬植物建模與可視化研究03-02