云原生容器运行时【免费下载链接】kata-containersKata Containers is an open source project and community working to build a standard implementation of lightweight Virtual Machines (VMs) that feel and perform like containers, but provide the workload isolation and security advantages of VMs. https://katacontainers.io/项目地址https://gitcode.com/gh_mirrors/ka/kata-containers点击查看免费下载Kata Containers 在 3.0 版本起将Dragonball作为内置轻量级虚拟化监视器VMM集成进 runtime-rs为容器工作负载提供基于 KVM 的高性能沙箱。本指南以仓库内 Dragonball API 文档 为骨架围绕ConfigureBootSource与SetVmConfiguration两个核心配置 API 展开逐一讲解BootSourceConfig与VmConfigInfo的全部字段、默认值与校验规则并结合 Dragonball 源码 与 runtime-rs 的 Dragonball 集成层 还原其底层调用链与配置约束。读完本文你将掌握如何为 Kata Containers 的 Dragonball 沙箱配置内核启动源与 vCPU/内存资源并能读懂相关配置项在 configuration-dragonball.toml.in 中的映射关系。背景Dragonball 与它的 API 设计Dragonball是 Kata Containers 社区基于 Linux KVM 实现的一个轻量级 VMM面向容器场景做了针对性优化容器镜像管理与加速服务、灵活高性能的虚拟设备驱动、低 CPU/内存开销、最小化启动时间以及优化的并发启动速度。它被集成进 Kata 3.0 运行时作为内置 VMM开箱即用见 Dragonball README。Dragonball 为 Kata 运行时提供了丰富的 API 用于与 VMM 交互其对象模型在 vmm.rs 中有清晰描述Vmm API Server与HTTP API Server、Shimv2/CRI API Server一一对应Vmm管理若干Vm每个Vm内部包含地址空间管理器、设备管理器、资源管理器与 vCPUAPI 客户端通过VmmService与 VMM 核心通信链路为API client -- VMM API Server -- VMM Core。所有可被外部调用的操作被定义为一个统一的枚举VmmAction见 vmm_action.rs请求与响应通过 crossbeam 通道传递VmmRequest BoxVmmActionVmmResponse BoxResultVmmData, VmmActionError。VMM 主线程在run_vmm_action中接收请求并分发到对应处理函数。API 文档聚焦其中的两个配置类动作ConfigureBootSource配置虚拟机内核启动源SetVmConfiguration设置虚拟机vCPU/内存等配置。两者都只能在一台虚拟机启动之前调用这一点在源码中被严格校验is_vm_initialized()为真时直接返回UpdateNotAllowedPostBoot错误。ConfigureBootSource配置内核启动源ConfigureBootSource使用BootSourceConfig配置虚拟机的启动源该动作只允许在 VM 启动前调用。对应实现位于 boot_source.rs 与 vmm_action.rs。BootSourceConfig 字段字段类型说明kernel_pathString内核镜像路径。当前 Dragonball 仅支持压缩内核镜像API 文档表述源码注释则写明仅支持未压缩内核We only support uncompressed kernel for Dragonball实际以构建产物与发行版内核为准路径非法或权限不足会返回InvalidKernelPathinitrd_pathOptionStringinitrd 镜像路径可为None。注意根文件系统rootfs是在BlockDeviceConfigInfo中设置的而非 initrdboot_argsOptionString传给内核的启动参数可为None省略时使用默认内核命令行firmware_pathOptionString固件文件路径可选源码中新增的字段文档正文未列出源码中的处理逻辑在configure_boot_source的实现中Dragonball 会依次执行检查 VM 是否已初始化已初始化则拒绝更新打开kernel_path指向的文件失败返回InvalidKernelPath若有initrd_path打开对应文件失败返回InvalidInitrdPath以dbs_boot::layout::CMDLINE_MAX_SIZE为上限创建内核命令行缓冲将boot_args写入省略时填充DEFAULT_KERNEL_CMDLINE若有firmware_path打开对应文件失败返回InvalidFirmwarePath组装成KernelConfigInfo见 kernel_config.rs内部持有 kernel/initrd/firmware 三个文件描述符与命令行对象保存到 VM。默认内核命令行常量定义在 boot_source.rsrebootk panic1 pcioff nomodules 8250.nr_uarts0 i8042.noaux i8042.nomux i8042.nopnp i8042.dumbkbd各参数含义rebootk让 guest 在收到 reboot 时直接关机而非重启panic1崩溃后 1 秒重启pcioff启动时不扫描 PCI 设备以加快启动nomodules禁用可加载内核模块8250.nr_uarts0禁用 8250 串口i8042.*系列参数跳过键盘/鼠标控制器探测。SetVmConfiguration设置虚拟机配置SetVmConfiguration使用VmConfigInfo初始化虚拟机配置。实现见 vmm_action.rs类型定义见 vm/mod.rs。VmConfigInfo 字段详解字段类型默认值说明vcpu_countu81启动时的 vCPU 数量。API 文档声明最大支持 255 个 vCPU当前源码 machine_config.rs 中MAX_SUPPORTED_VCPUS常量取值为254原因是所有 vCPU 相关指标均以u8存储突破 u8 需要额外工作max_vcpu_countu81通过 CPU 热插拔可达到的最大 vCPU 数量不得小于vcpu_countcpu_pmStringonCPU 电源管理开关cpu_topologyCpuTopology1T/1C/1D/1SCPU 拓扑信息含四个子字段见下vpmu_featureu80虚拟 PMUvPMU特性级别mem_typeStringshmem内存类型只能是hugetlbfs或shmemmem_file_pathString内存文件路径mem_type为hugetlbfs时必须非空mem_size_mibusize128内存大小MiB。最大支持 1TB即0x10_0000MiB且必须是 2MiB 的整数倍巨页对齐serial_pathOptionStringNone可选的串口 socket 路径为None时创建 stdio 控制台为Some(path)时在该路径创建 socket 控制台pci_hotplug_enabledboolfalse是否启用 PCI 设备热插拔源码新增字段文档正文未列出CpuTopology 子字段CpuTopology定义于 vm/mod.rs字段类型合法取值说明threads_per_coreu81或2每个核的线程数2表示启用超线程cores_per_dieu8 0每个 die 的核数dies_per_socketu8 0每个 socket 的 die 数socketsu81或2socket 数量拓扑乘积threads_per_core * cores_per_die * dies_per_socket * sockets即为从拓扑推导出的最大 vCPU 数必须大于等于vcpu_count。源码中的校验规则set_vm_configuration的实现包含一套完整的校验逻辑对应错误类型集中在 machine_config.rsvcpu_count必须 1否则报InvalidVcpuCount启用超线程threads_per_core 2时vcpu_count只能是 1 或偶数max_vcpu_count不得小于vcpu_count否则报InvalidMaxVcpuCount若显式给出的max_vcpu_count与 CPU 拓扑推导值不一致Dragonball 会以拓扑推导值为准并记录一条 info 日志当cpu_topology未显式指定时默认拓扑中cores_per_die会取vcpu_count若max_vcpu_count更大则取其值mem_size_mib必须满足0 size 0x10_0000且为 2 的整数倍否则报InvalidMemorySize最大 1TB 内存即由0x10_0000MiB 上限体现mem_type为hugetlbfs时mem_file_path必须非空否则报InvalidMemFilePath非法mem_type报InvalidMemTypeNUMA 场景下各 region 内存总和须与mem_size_mib一致、vCPU 总数须与max_vcpu_count一致见InvalidNumaRegionMemorySize/InvalidNumaRegionCpuCount等。配置通过校验后写入vm.set_vm_config()并缓存在VmmService.machine_config中之后可通过GetVmConfiguration动作原样读出返回VmmData::MachineConfiguration。运行时如何调用这些 APIruntime-rs 集成层runtime-rs 的 hypervisor crate 中Dragonball 集成层vmm_instance.rs将 Kata 沙箱生命周期操作映射为上述VmmAction配置内核启动源Request::Sync(VmmAction::ConfigureBootSource(...))启动虚拟机Request::Sync(VmmAction::StartMicroVm)设置资源配置Request::Sync(VmmAction::SetVmConfiguration(...))此外还有网络/块设备/fs 设备/vsock 插入、ResizeVcpuvCPU 热扩容、PauseMicroVm/ResumeMicroVm、SaveMicrovm快照等动作。runtime-rs 用户通常不需要直接构造VmConfigInfo而是编辑 configuration-dragonball.toml.in其中的若干项与VmConfigInfo字段一一对应default_vcpus默认 vCPU 数。0或未指定时取 1负数取物理核数超过物理核数时取物理核数overhead_vcpusguest 侧 vCPU 开销预算配合静态沙箱资源管理vm_vcpus requested_vcpus overhead_vcpusdefault_maxvcpus默认最大 vCPU 数对应max_vcpu_count影响 VM 内存足迹与 CPU 热插拔能力设为 240 时最多可热插拔到 240 个 vCPU 但内存占用大设为 8 时内存占用小但上限低kernel_params对应boot_args与默认内核命令行合并后传给 guest 内核firmware对应firmware_path留空则使用默认固件default_bridgesPCI 桥数量Dragonball 不支持 PCI 热插拔选项应设为 0。生命周期与状态机Dragonball 的实例状态定义在 instance_info.rsInstanceState虚拟机创建后处于Uninitialized调用start_microvm后依次进入Starting、Running支持Paused暂停状态退出时标记Exited(i32)。InstanceInfo同时记录实例 ID、VMM 版本、进程 PID、vCPU 线程 tid 列表以及上一次实例停机时间last_instance_downtime供热迁移/快照场景参考x86_64 下还支持 TDX 机密虚拟机类型ConfidentialVmType::TDX。典型调用时序为SetVmConfiguration设置 vCPU/内存等资源参数ConfigureBootSource设置内核/initrd/启动参数StartMicroVm启动虚拟机运行期通过PauseMicroVm/ResumeMicroVm、ResizeVcpu、设备插入/移除等动作管理沙箱ShutdownMicroVm优雅退出VMM 主循环检测到退出事件后先移除设备、停止全部 vCPU 线程再以退出码结束见 vmm.rs。其他 VmmAction 概览除配置类动作外VmmAction还定义了完整的生命周期与设备管理动作部分需要编译特性开关见 vmm_action.rs动作说明时机StartMicroVm/ShutdownMicroVm启动 / 关闭虚拟机启动前 / 启动后PauseMicroVm/ResumeMicroVm暂停 / 恢复全部 vCPU启动后SaveMicrovm/StartMicroVmFromSnapshot保存快照状态文件 内存文件并从快照恢复仅 x86_64GetVmConfiguration/GetHypervisorMetrics读取当前配置 / Prometheus 指标任意InsertBlockDevice/RemoveBlockDevice/UpdateBlockDevice块设备热插拔与速率限制更新依赖hotplug特性InsertNetworkDevice/UpdateNetworkInterface网络设备插入与限速更新启动前 / 启动后InsertFsDevice/ManipulateFsBackendFsvirtio-fs 设备插入与后端 fs 挂载管理启动前后均可后者仅启动后InsertVsockDevice/InsertMemDevice/InsertBalloonDevice/InsertRngDevicevsock / virtio-mem / balloon / rng 设备插入各有特性开关ResizeVcpuvCPU 热扩容需hotplug特性InsertHostDevice/RemoveHostDeviceVFIO 直通设备管理需host-device特性SetHypervisorTracing/EndHypervisorTracing设置 / 结束 VMM 追踪任意小结与延伸阅读ConfigureBootSource与SetVmConfiguration是操作 Dragonball 虚拟机最基础的两个 API前者决定 guest 从哪个内核/initrd 启动、带什么内核参数后者决定沙箱的 vCPU 拓扑与内存布局。理解它们背后的校验规则vCPU 上限与超线程约束、内存 2MiB 对齐与 1TB 上限、hugetlbfs 路径要求、拓扑与最大 vCPU 的推导关系有助于在 runtime-rs 的configuration-dragonball.toml.in中做出合理的资源规划。若想进一步深入可继续阅读仓库内相关材料Dragonball 设备文档virtio 设备模型与热插拔Dragonball vCPU 文档vCPU 管理与拓扑Dragonball Upcall 文档guest 与 VMM 间同步热插拔的 upcall 通道dbs_boot README启动镜像与内存布局底层实现Kata Containers runtime-rs 沙箱配置指南从运行时视角配置沙箱资源。赞分享云原生容器运行时【免费下载链接】kata-containersKata Containers is an open source project and community working to build a standard implementation of lightweight Virtual Machines (VMs) that feel and perform like containers, but provide the workload isolation and security advantages of VMs. https://katacontainers.io/项目地址https://gitcode.com/gh_mirrors/ka/kata-containers点击查看免费下载相关推荐Kata Containers 无根 VMMRootless VMM运行指南原理、配置与限制Kata Containers 无根 VMMRootless VMM运行指南原理、配置与限制 导读 Kata Containers 通过轻量级虚拟机为容器云原生容器运行时Kata Containers 多 Hypervisor 技术解析QEMU、Cloud Hypervisor、Firecracker、Dragonball 与 StratoVirt 选型与配置详解Kata Containers 多 Hypervisor 技术解析QEMU、Cloud Hypervisor、Firecracker、Dragonball 与云原生容器运行时Kata Containers kata-agent 开发指南源码构建、内核命令行配置与 ttRPC API 机制Kata Containers kata agent 开发指南源码构建、内核命令行配置与 ttRPC API 机制 Kata Containers 的 kat云原生容器运行时上一篇OpenHRMS深度技术解析企业级开源人力资源管理的架构演进与实施策略下一篇5分钟搭建原神私服GUI服务端的创新实践指南创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考