浅谈容器运行时

原作者：Nicolas Ehrman

来源：WIZ

写作日期：2024/02/12

unsetunset0x00 前言unsetunset

容器运行时（Container Runtime，简称Runtime）需要通过和操作系统内核进行紧密协作，来为容器提供运行环境，是容器真正运行的地方。

如果大家使用过Java，可以简单认为Java 程序就是容器，JVM就是Runtime；JVM需要为Java程序提供运行环境，而容器需要在Runtime中运行。

接下来，我们以新手的视角来浅谈一下容器运行时的功能、类型、常见工具以及安全风险～

unsetunset0x01 Runtime的功能unsetunset

容器技术起源于早期的Unix系统。在《第 1 课 容器安全威胁建模》中，我们了解到：2013年3月15日Docker 问世，为开发者提供了一种便捷的打包方式，使应用程序“一处构建，处处运行”，以至于容器再次“翻红”，形成一道新的科技浪潮。

与虚拟机不同，容器与宿主机共享操作系统内核，在效率上更快一些，这种效率使得容器成为部署微服务、实现可扩展、高性能应用程序的理想选择。

但正如 CNCF 的年度报告所调查的那样：“一个公司使用容器的范围越广，他们就越有可能将安全性视为容器的一大难题”。

理解容器的核心功能对于理解Runtime如何促进容器的无缝执行和如何管理容器至关重要。

1.1 Runtime 运行容器的步骤

1. 创建容器，并根据镜像中的应用程序及其依赖初始化环境；
2. 运行容器，启动应用程序并确保其正常运行；
3. 管理容器的生命周期，例如：
1. 监控容器的运行状况；
2. 在容器发生故障的时候重启容器；
3. 在不使用容器时清理资源；

1.2 与宿主机的操作系统交互

Runtime 需要与宿主机的操作系统进行紧密交互。例如操作系统的namespace 和cgroup^[1]。

它们利用操作系统的各种功能来隔离和管理每个容器的资源，确保容器内的进程无法干扰其他的容器或宿主机，从而保持一个安全稳定的环境。

1.3 资源的分配和管理

Runtime还是资源管理的重要组成部分，因为它们可以为每个容器分配和调节 CPU、内存和I/O，以防止过度占用资源。

这种特性在多租户环境中尤为常见，若要了解多租户相关的知识，请查看1.4 多租户。

unsetunset0x02 Runtime VS Engineunsetunset

虽然容器运行时（Container Runtime，简称Runtime）负责运行容器，但容器引擎（Container Engine，简称Engine）是一个更广泛的系统。Engine可以管理更多的容器生命周期，例如：镜像的分发、容器的编排和Runtime的管理。

一个常见的误区是：Runtime 等于 Engine。以Docker 为例，虽然 Docker 的Engine包含了Runtime，但它还提供了一套用于构建、交付和运行容器化应用程序的工具。

unsetunset0x0 Runtime的类型unsetunset

为了满足基本的容器运行到复杂的容器编排的需求，容器运行时大致可以分为底层的Runtime、高层的Runtime 和专门的Runtime。这些Runtime的独特功能及抽象程度如下所示：

unsetunset0x04 常见的Runtime 工具unsetunset

由于Runtime功能强大且用户广泛，市场上有许多关于Runtime的工具，如下所示：

Docker^[2]在众多Runtime中脱颖而出，成为一个多功能且用户友好的平台，非常适合需要集成环境来构建、分发和运行应用程序的开发人员；

Containerd^[3]和Runc^[4]提供了更专业和更底层的功能，在Runtime的核心方面精益求精；

CRI-O^[5]针对Kubernetes进行优化，使其成为Kubernetes生态系统中可以投入大量资金的首要选择；

Podman^[6]通过使用无守护进程的容器管理脱颖而出，提供了一种独特的方法，与以安全为重点的简约环境完美契合；

总而言之，不同种类的Runtime反映了容器领域中不断发展的多样化的需求，也为各种部署策略和运行要求提供了定制的解决方案；

unsetunset0x05 安全风险unsetunset

容器化的环境本质上比传统的工作负载更加复杂，具体体现在：

1. 更大的攻击面。由于容器及其各种底层镜像的多样性，其攻击面比传统的工作负载要大得多；
2. 共享内核的架构。容器共享宿主机的操作系统内核。因此，仅保护主机的安全是远远不够的，我们还需要对容器之间的隔离进行安全配置。若没有进行安全配置，容器中的任何漏洞都有可能会危害整个主机；
3. 动态环境。容器化工作负载的高度动态特性带来了可观测性的挑战，这使得传统的监控工具难以跟踪；

因此，采用整体的安全策略至关重要。理想的安全策略应该涵盖镜像构建到Runtime的监控的方方面面，例如：

1. 镜像安全防护。在镜像部署之前先进行漏洞扫描，并修复镜像中的漏洞；
2. 镜像仓库安全防护。在镜像仓库中实施安全访问控制与镜像签名；

因为，最佳的容器安全的实践应该为：

1. 确保部署环境的安全。实施更强大的防火墙规则，对宿主机的操作系统进行加固；使用提供安全的API 接口和RBAC的编排工具；遵循最小权限原则，将容器配置成以最小的权限运行，避免以root或高权限运行容器；确保镜像中未嵌入secret；
2. 监控容器互动。实施细粒度的监控，以提供容器健康和行为的可见性。

unsetunset0x06 结论unsetunset

本文，我们了解到Runtime主要负责从容器镜像仓库中拉取镜像、管理镜像的生命周期，以及在系统上执行容器的所有操作。

此外，我们还回顾了Runtime的历史，了解它们在现代软件开发中的作用以及与虚拟机的区别。

最后，我们还研究了不同类型的Runtime工具之间的区别及其安全风险。更多内容请查看我们的【容器安全防护基础】课程中的：

• 《1.2 容器威胁模型》
• 《1.3 安全边界》
• 《1.5 安全原则》

接下来，我们再简单分析一下：Docker、containerd、CRI-O 和 runc 之间的区别～