## 概要 Kata Containers は、各コンテナを軽量 VM 内で実行することで、コンテナ間の OS カーネル隔離を実現するコンテナランタイムである。Docker 互換の OCI ランタイムインターフェースを持ち、通常のコンテナツールから利用できる。VM 境界による強固な隔離を提供する一方、VM 起動時間と仮想化オーバーヘッドが課題となる。(Source: [[@2023__APSys__Reducing Attack Surface with Container Transplantation for Lightweight Sandboxing]] §1) ## APSys ’23 での評価 APSys ’23 の Container Transplantation 論文では、比較対象として Kata Containers(1.13.0-alpha)が用いられた。UnixBench の性能評価では、ハードウェア支援仮想化により gVisor よりは性能低下が小さい場合もあるが、VM ベースのため完全な軽量性は維持しにくい。本論文の Linuxulator with Jail は、VM 方式とは異なりカーネル内エミュレーションで軽量性を維持することを目指している。(Source: [[@2023__APSys__Reducing Attack Surface with Container Transplantation for Lightweight Sandboxing]] §5.2, §6) ## 関連 - ソース: [[@2023__APSys__Reducing Attack Surface with Container Transplantation for Lightweight Sandboxing]] - エンティティ: [[gVisor]] / [[Docker]] / [[Linux]] / [[Open Infrastructure Foundation]] - 概念: [[コンテナ仮想化]] / [[Capability-based Security]] / [[Lightweight Sandboxing]]