容器运行时云原生网络【免费下载链接】rkt[Project ended] rkt is a pod-native container engine for Linux. It is composable, secure, and built on standards.项目地址https://gitcode.com/gh_mirrors/rk/rkt点击查看免费下载rkt发音同 rocket是 Linux 平台上一款 pod 原生pod-native的容器引擎命令行工具以安全优先secure-by-default为设计原则支持 SELinux、TPM 度量与硬件隔离的 KVM 虚拟机运行并面向 systemd、Kubernetes、Nomad 等编排与初始化系统提供一流集成。本文以仓库 README.md 为主线结合 架构文档 与仓库源码完整剖析 rkt 的核心理念、pod 模型、阶段式执行架构、安全机制、镜像体系及实操上手路径帮助你掌握其设计思想与工程实现。重要声明该开源项目已宣布结束End of project所有开发与维护活动已停止见 README.md 顶部的警示。仓库虽已归档但代码与文档仍完整保留可用于学习容器引擎设计与 App Container 规范实现。rkt v1.x 系列承诺提供命令行界面与磁盘数据结构层面的稳定性。一、rkt 是什么pod 原生容器引擎rkt 是一个用于在 Linux 上运行应用容器的 CLI 工具其设计目标可归纳为四个关键词Pod 原生Pod-nativerkt 的基本执行单元是 pod。pod 将资源与用户应用链接在一个自包含环境中对应 Kubernetes 中的 pod 概念。见 app-container 文档 中对 pod 的完整定义。安全性Security坚持安全优先原则内置 SELinux、TPM 度量、硬件隔离的 KVM 虚拟机 等安全能力。可组合性Composability与初始化系统如 systemd、upstart及集群编排工具如 Kubernetes、Nomad提供一流的集成并支持可替换的执行引擎。开放标准与兼容性实现 appc 规范支持 CNIContainer Networking Interface 规范并能运行 Docker 镜像 与 OCI 镜像。项目定位与现状rkt v1.x 系列对外承诺命令行用户界面CLI与磁盘数据结构on-disk data structure的稳定性任何重大变更都会明确沟通并对退役特性执行正式弃用流程。项目路线图详见 ROADMAP.md。二、核心概念ACI 镜像与 pod 执行单元rkt 的原生镜像格式与运行时环境均由 appcApp Container规范定义rkt 是其参考实现。这是理解 rkt 一切设计的基础详见 app-container 文档。ACI应用容器镜像ACIApplication Container Image是 appc 定义的镜像格式构成非常简单一个 rootfs 打包的 tarball内含执行应用所需的全部文件一个 Image Manifest镜像清单声明默认执行参数、默认资源约束等元数据。镜像可以通过acbuild、actool或goaci等工具构建。Docker 镜像可经docker2aci转换但 rkt 在运行时也会自动完成该转换。镜像中定义的大部分参数都能在运行时被 rkt 覆盖——例如rkt run允许用户为镜像提供自定义的 exec 参数。Pod基本执行单元pod 是一个或多个应用镜像ACI的分组外加可选的 pod 级元数据。例如资源约束可以施加在 pod 级别成为 pod 内所有应用的外边界。pod 内的镜像共享执行上下文包括网络。rkt 中的 pod 与 Kubernetes 中定义的 pod 概念一致。验证 rkt 作为 appc 实现rkt 实现了 appc 规范的两个运行时组件Application Container ExecutorACE与Metadata Service并直接使用上游 appc/spec 仓库的 schema 与代码来操作 ACI、处理镜像与 pod 清单、执行镜像发现。使用官方验证 ACI 可验证 ACE 实现# rkt metadata-service # 确保 metadata service 正在运行 # rkt --insecure-optionsimage run \ --mds-register \ --volumedatabase,kindhost,source/tmp \ https://github.com/appc/spec/releases/download/v0.8.11/ace-validator-main.aci \ https://github.com/appc/spec/releases/download/v0.8.11/ace-validator-sidekick.aci三、无守护进程的阶段式执行架构rkt 的核心架构特征是主接口是一个命令行工具rkt不需要常驻后台守护进程。这一设计带来两个关键优势见 架构文档rkt 可原地升级而不影响正在运行的应用容器不同操作的权限级别可以分离。所有 rkt 状态都通过文件系统传递并使用文件锁file-locking来保证并发调用rkt命令时的协作与互斥。三个执行阶段1. invoking process - stage0: 调用进程通过自身机制调用 rkt 二进制stage0 2. stage0 - stage1: 通过 exec(3) 将 stage0 替换为 stage1 入口点 3. stage1 - stage2: stage1 入口点调用 stage2 应用可执行文件三个阶段的具体职责如下Stage 0即rkt二进制本身。负责拉取指定 ACI包括--stage1-{url,path,name,hash,from-dir}指定的 stage1 ACI、生成 pod UUID、生成 pod manifest、创建 pod 文件系统、设置 stage1/stage2 目录、解包 stage1 ACI 到 pod 文件系统、解包 ACI 并复制每个应用到 stage2 目录。Stage 1用户信任的二进制负责读取镜像与 pod 清单、搭建隔离环境称为 stage1 flavor。Stage 2应用实际运行的环境由 stage1 启动。三种 stage1 flavorFlavor隔离机制适用场景fly仅 chroot最简单的单进程环境systemd/nspawncgroup namespace基于 systemd 与 systemd-nspawn默认的完整隔离环境kvm硬件虚拟化虚拟机强隔离场景详见 KVM 文档以rkt run app1.aci app2.aci为例stage0 生成的 pod 文件系统结构为/pod /stage1 /stage1/manifest /stage1/rootfs/init /stage1/rootfs/opt /stage1/rootfs/opt/stage2/${app1-name} /stage1/rootfs/opt/stage2/${app2-name}其中pod是 pod manifest 文件stage1是 stage1 ACI 的安全读写副本stage1/rootfs/init是实际执行的 stage1 二进制路径依 stage1 ACI 的coreos.com/rkt/stage1/run注解而定stage1/rootfs/opt/stage2是解包后的 ACI 副本。stage0 最终以exec调用/stage1/rootfs/init并将当前工作目录设为新文件系统的根。systemd/nspawn 类 flavor 的执行链是ld-linux-*.so.*加载器→systemd-nspawn--boot参数启动容器→systemd容器内 supervisorforkexec启动应用进程。在 架构文档 中可以查看对应的进程树实例。不可变与可变的 pod 运行时rkt 支持两种 pod 运行时环境不可变immutable默认模式即所有rkt prepare/rkt run创建的 pod。创建后无法修改。可变mutable实验特性允许在 pod 启动后增删、启停应用。目前仅存在于实验性的rkt app子命令家族中详见 pod 生命周期文档。两种环境都由容器内 systemd 基于自定义依赖图监督其服务单元行为差异可参阅架构文档中的对照表。四、安全特性全景rkt 以安全优先为默认原则并内置了多层安全机制。以下是 README 强调的三项核心安全特性及其实现细节。SELinux 支持rkt 使用 SELinux SVirt 机制运行容器。启动时rkt 尝试读取/etc/selinux/(policy)/contexts/lxc_contexts若文件不存在则不做任何 SELinux 转换若存在则为每个实例生成独立的 context——所有实例挂载使用lxc_contexts中定义的文件 context 创建实例进程运行在派生自其中进程 context 的上下文。处于这些上下文中的进程即使以相同用户运行也无法与其他实例上下文中的进程或文件交互。典型的lxc_contexts示例见 selinux 文档。TPM 可信度量通过./configure --enable-tpmyes构建可启用 TPM 功能。rkt 通过 go-tspi 项目的tpmd可执行程序访问 TPM该守护进程监听 12041 端口。度量事件记录到PCR 15事件类型为0x1000每个事件包含容器根文件系统哈希容器清单数据内容的哈希传递给stage1的参数哈希。这为节点上执行的容器含其配置提供了密码学上可验证的审计日志。详见 TPM 文档。KVM 硬件隔离rkt 可选用 KVM 虚拟机LKVM 或 QEMU作为 stage1让 pod 运行在拥有独立操作系统内核、受虚拟机监控器隔离的虚拟机中而非仅用 cgroups 和 namespaces 创建容器。前提是硬件支持虚拟化且内核已加载 KVM 模块sudo rkt run --debug --insecure-optionsimage --stage1-namecoreos.com/rkt/stage1-kvm:1.30.0 docker://redisKVM stage1 的内存分配规则为各应用所需内存之和 系统额外 128MB若某应用未指定内存则默认按 128MB 计算。还可通过环境变量RKT_HYPERVISOR_EXTRA_KERNEL_PARAMS传递额外内核命令行参数。构建 KVM stage1 的命令为$ ./autogen.sh ./configure --with-stage1-flavorskvm --with-stage1-kvm-hypervisorslkvm,qemu make详细内容见 KVM stage1 文档。通用安全最佳实践security 文档 给出了系统性的运行安全建议不要让应用以 root 运行使用镜像中的 user/group 字段或运行时的--user、--groupCLI 参数非必要不关闭安全特性除非确实需要否则不要使用--insecure-options标志尽量收缩 capabilities只授予应用真正需要的权限见 capabilities 指南不要直接禁用 seccomp默认 seccomp 配置文件可能过严应微调而非禁用见 seccomp 指南尽可能使用 user namespaces若不受其当前限制影响不要使用 host networking否则容器内应用可访问主机网络接口并连接主机上监听的任意应用含抽象 Unix socket。卷volume使用同样有专门建议优先只读卷Linux v4.2 及更早版本上避免共享目录防止主机工具将文件移出目录造成整个主机文件系统暴露尽量共享完整文件系统而非文件系统中的单个目录通常不建议向容器共享主机设备如需共享可参考 block devices 文档。此外sd_notify 机制允许 pod 内 systemd 通知主机上 systemd pod 已就绪涉及跨命名空间文件描述符传递部署时也需留意 security 文档 中的相关说明。五、镜像生命周期拉取、存储与渲染rkt prepare与rkt run的第一步是拉取命令行中请求的全部镜像并准备含应用内容的 stage2 目录整个过程分为三个逻辑阶段见 架构文档Fetch拉取根据提供的镜像参数镜像字符串/哈希/HTTPS URL/本地文件等拉取镜像Store存储将拉取的镜像保存到本地 Image Store作为已拉取镜像及相关数据的缓存Render渲染渲染器从 store 取出所需镜像并渲染为可直接用作 stage2 内容的形态。渲染有两种方式直接在 pod 内渲染 stage1-2 内容占用更多磁盘、准备时间更长或使用 treestore——渲染镜像的缓存配合 overlayfs 将 treestore 渲染镜像作为 lower 目录挂载。treestore 缓存机制使 pod 与 treestore 之间形成硬连接。rkt 目前内部实现 appc 格式并会从其他容器镜像格式做转换以便兼容。未来如 OCI 镜像规范支持可沿用相同的拉取-存储-渲染基本框架详见 OCI 提案文档 与 镜像拉取行为文档。六、快速上手构建并运行一个应用入门指南 提供了一个从零构建 Go 应用并用 rkt 运行的端到端示例。编写并静态编译应用package main import ( log net/http ) func main() { http.HandleFunc(/, func(w http.ResponseWriter, r *http.Request) { log.Printf(request from %v\n, r.RemoteAddr) w.Write([]byte(hello\n)) }) log.Fatal(http.ListenAndServe(:5000, nil)) }使用静态链接编译Go 1.9 及以上$ CGO_ENABLED0 go build -ldflags -extldflags -static用file与ldd验证产物确为静态链接$ file hello hello: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), statically linked, not stripped $ ldd hello not a dynamic executable用 acbuild 构建 ACI 镜像acbuild begin acbuild set-name example.com/hello acbuild copy hello /bin/hello acbuild set-exec /bin/hello acbuild port add www tcp 5000 acbuild label add version 0.0.1 acbuild label add arch amd64 acbuild label add os linux acbuild annotation add authors Carly Container carlyexample.com acbuild write hello-0.0.1-linux-amd64.aci acbuild end运行并验证# rkt --insecure-optionsimage run hello-0.0.1-linux-amd64.aci注意默认情况下 rkt 期望镜像经过签名因此本例需要--insecure-optionsimage。签名与验证的完整流程见 签名与验证指南。用rkt list查看容器被分配的 IP# rkt list UUID APP IMAGE NAME STATE NETWORKS 885876b0 hello example.com/hello:0.0.1 running default:ip4172.16.28.2然后curl该 IP 的 5000 端口$ curl 172.16.28.2:5000 hello要停止容器连续输入三个转义字符^]^]^]US 键盘上即Ctrl-]。如需以守护进程方式运行 rkt参见 run 子命令文档。七、CLI 与子命令体系rkt 的命令行基于 cobra 框架实现见 rkt/run.go 中cmdRun的定义。以run子命令为例其使用格式为rkt run [--volumename,kindhost,...] [--mount volumeVOL,targetPATH] IMAGE [-- image-args...[---]]...镜像参数按哈希 → 本地文件 → URL顺序检查首个匹配生效--volume通过 kind 绑定主机卷--mount将卷绑定到镜像根内的目标路径--mount是位置敏感的——出现在任何镜像之前则应用于所有镜像出现在某个镜像之后则只作用于紧邻的前一个镜像per-app 挂载优先于同名全局挂载单个--可抑制 rkt run 对后续参数的解析这些参数将追加到紧邻前一个镜像应用的 exec 参数中以单独---结束镜像参数以恢复参数解析。从源码结构看CLI 由 rkt/main.go 聚合run、prepare、list、gc、stop、status、fetch、image、app等众多子命令每个子命令对应一个独立实现文件如 rkt/run.go、rkt/list.go、rkt/fetch.go 等。完整命令列表可参考 commands 文档。八、生态集成与相关资料导航systemd 集成rkt 专为一等公民的 init 系统集成而设计详见 using-rkt-with-systemd支持 socket activation 与 socket-proxyd 特性Kubernetes 与 Nomad作为容器运行时接入集群编排见 Kubernetes 集成 与 Nomad 集成网络基于 CNI 规范见 networking 概览 与 网络覆盖与默认值发行版支持distributions 文档 列出各 Linux 发行版对 rkt 的支持情况排障遇到问题先查阅 troubleshooting 文档开发与构建hacking 指南 介绍如何编译并参与 rkt 开发stage1 实现者指南 面向希望实现自定义 stage1 的开发者集成方与生产用户见 integrations 与 production-users。九、许可证与安全披露除特别注明外rkt 仓库所有代码采用 Apache 2.0 许可证。部分代码源自其他采用不同许可证的项目相应信息见对应源文件头部。若发现 rkt 的安全漏洞请勿直接提交 GitHub issue而应发送邮件至 securitycoreos.com附上完整细节与复现步骤。结语rkt 是容器技术演进史中一个重要的工程样本它以 pod 为执行单元、以无守护进程的阶段式架构实现可组合与可升级性以 appc/CNI 等开放标准保证互操作并将安全优先落实到 SELinux、TPM、KVM、user namespaces 等层层机制。虽然项目已宣布停止维护但其文档与源码依然是学习 Linux 容器引擎设计、研究 pod 生命周期与 stage 化执行架构的优质参考。对于想要在历史环境中理解或迁移 rkt 部署的读者建议从 getting-started-guide 入手再结合 architecture 深入内核。赞分享容器运行时云原生网络【免费下载链接】rkt[Project ended] rkt is a pod-native container engine for Linux. It is composable, secure, and built on standards.项目地址https://gitcode.com/gh_mirrors/rk/rkt点击查看免费下载相关推荐rkt容器引擎深度解析Pod原生架构如何革新容器安全边界rkt容器引擎深度解析Pod原生架构如何革新容器安全边界 你是否还在为容器逃逸漏洞彻夜难眠是否担忧复杂的容器编排增加安全管理成本rkt容器引擎由Core容器运行时云原生网络rkt 版本演进全解析从 v0.0.0 到 v1.30.0 的 Pod 原生容器引擎发展史rkt 版本演进全解析从 v0.0.0 到 v1.30.0 的 Pod 原生容器引擎发展史 rkt 是一个基于标准构建、可组合且注重安全的 Pod 原生po容器运行时云原生网络三行命令批量下载去水印抖音视频从单个作品到整个主页三行命令批量下载去水印抖音视频从单个作品到整个主页 想把抖音视频存下来时系统自带的保存按钮带水印、画质还打折想收集某个博主的全部作品逐条手动点既费事又容网页爬虫CLI上一篇Mojo 隐式类型转换机制深度解析从 implicit_conversion 提案到 implicit 实现下一篇Valkey 快速上手实战指南从 Makefile/CMake 构建、运行到 TLS 与 RDMA 部署创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考