容器运行时
容器运行时提供了容器生命周期管理功能，包括创建、启动、停止和删除容器。它允许容器在隔离的环境中运行，确保了应用程序的一致性和安全性。容器运行时是容器编排和部署的基础，是实现微服务架构的关键技术。
在2017年底，沙箱（Sandbox）容器技术兴起，它将容器进程限制在一个封闭的沙箱环境中，防止其对系统和其他容器造成破坏，具有极高的安全性。
沙箱天然符合 Pod 的定义，它为一组容器提供了一个隔离的环境，在沙箱环境中运行的容器，就是沙箱容器。根据沙箱隔离的边界可分为：
- 轻量虚拟机沙箱（MicroVM Sandbox）：在宿主机上模拟一套完整的虚拟机，容器运行在虚拟机内，具有非常高的安全隔离效果。
- 用户态内核沙箱（Application Kernel Sandbox）：通过一个运行在用户态的内核程序，拦截并实现容器的系统调用，从而保证容器间的安全隔离性。
- WebAssembly 沙箱（Wasm Sandbox）：将容器运行在 WebAssembly 的运行时中，依赖 WebAssembly 的能力提供进进程级别的隔离。
每种沙箱在极速弹性、安全隔离和标准通用维度有各自的优势，目前云厂商都已在生产环境布局了沙箱容器产品，每个沙箱借助 containerd Shim v2 均实现了一套管理面的程序，彼此之间不相兼容。
2023年3月，containerd 在其 v1.7.0 版本中发布了 Sandbox API 特性，该特性提供了一套管理沙箱的API，它的出现使得容器和沙箱的概念解耦，“容器归容器，沙箱归沙箱”，创建 Pod 就是创建沙箱，不再需要借助 pasue 容器。
捐赠本站(Donate)
如您感觉文章有用，可扫码捐赠本站！(If the article useful, you can scan the QR code to donate))