安全で軽量なコンテナランタイム「gVisor」について
「少し聞いたがことある」程度だったのですが、Software Engineering Dailyというポッドキャストのエピソードで耳にしたのを機に、gVisorについて調べてみました。そして日本語の情報もあまり多くなかったので軽く記事にしました。
gVisorとは
gVisorは、安全かつ軽量なコンテナのランタイムです。2018年のKubeConでGoogleから発表されました。
この記事では
- なぜgVisorが開発されたのか
- gVisorの仕組み・特徴
などを見ていきます。
なぜgVisorが開発されたのか
分離された環境を簡単に用意できるコンテナ技術は、開発においてもデプロイにおいても大変便利ですが、セキュリティ面での分離はできません。
カーネル（＋仮想的なマシンリソース）を複数用意することになる仮想マシンに比べ、「一つのカーネルをうまく共有して使う」ようになっているコンテナにはパフォーマンス面でのメリットがあります。しかし、そのメリットと表裏一体となってセキュリティ面でのデメリットが存在します。カーネルの脆弱性の影響をもろにうけてしまうわけです。
実際、CVE-2016-5195というLinuxカーネルの脆弱性のPoCの中に、Dockerコンテナ内からホストマシンのrootを奪取してしまうというものがあったようです。
よって、悪意のある処理が含まれうるコンテナを実行する必要のある組織（例えばIaaSを提供している企業）は「ホストマシン上で直でコンテナを動かす」ということはできません。そして、各コンテナに対して仮想マシンを用意するなどしなくてはならず、リソース利用の効率やパフォーマンスの面で問題がありました。
そのジレンマへの一つのアプローチとしてgVisorが開発されました。
gVisorの仕組み・特徴
gVisorは「ユーザー空間で動くカーネル」のようなものです。コンテナ内のアプリケーションが出したシステムコールをインターセプトして処理します。
Linuxの各システムコールの実装に対応する実装がgVisor内にあり、アプリケーションが出したシステムコールは（gVisorによって横取りされ）その実装によって処理されます。そして、gVisorが必要に応じてホストOSに対してシステムコールを投げるようになっています。gVisorからホストOSに対して発行されるシステムコールの種類は意図的に絞られています。（Linuxのseccompというのがありますね）。
アプリケーションから「数多くの種類の」システムコールを「ホストのカーネルに直接」発行することができてしまう通常のコンテナランタイムと比べると、明らかに安全になっていることがわかります。システムのうちアプリケーションから直接アクセス可能な部分を最小限にする、すなわちアプリケーションとシステムの分離のレベルを上げることでセキュリティを向上させているわけです。
また、（仮想的なマシンリソースを用意する必要がある）仮想マシンを用いた仮想化に比べるとオーバーヘッドは小さく、そして柔軟性が高まっています。仮想マシンだと起動時にメモリの容量などを決めないといけないですが、gVisorを用いると（普通のプロセスと同様で）そんなことはありません。
使い方
おなじみのDockerやKubernetesで簡単に使えます。公式のガイドも整っています。
gVisorが提供するコンテナのランタイムはOpen Container Initiativeの仕様に準拠していて、docker run --runtime=runsc ...のように指定すれば使えるようです。
現在はx64上のLinuxのみのサポートのようです。（詳しい数値は少しわかりませんが...）エンタープライズのクラウドの世界では大多数ですよね？
実用例
GCPのCloud Runが先月発表されて盛り上がっています。（自分も少し触ってみて感動しています。）
そのCloud Runですが、ドキュメントによるとgVisorが用いられているみたいです。
パーフェクトマッチな用途ですね。
また、gVisorの発表(2018年)以前からGoogleの内部では使われてきたようです。
参考
この記事では大枠のみになってしまいましたが、いろいろと参考になるリソースがありますので、興味のある人は覗いてみてください。
公式ページでは使い方のほか、アーキテクチャや開発のモチベーションなども触れられています。
GoogleでPMをされているYoshi Tamuraさんのインタビューも参考になりました。憧れます。
冒頭でも紹介しましたがSoftware Engineering Dailyのエピソードも参考になりました。実はこちらもYoshi Tamuraさんのインタビューです。
レポジトリはこちら。メモリ安全性や型安全性が評価され、Goを用いて実装されたようです。Dockerの実装もGoですしKubernetesの実装もGoですし大人気ですね。
おまけ: Kata Containers
コンテナとセキュリティに関連するプロジェクトとしてはKata Containersというのも有名なようです。こちらではKata Containers is an open source container runtime, building lightweight virtual machines that seamlessly plug into the containers ecosystem.と謳っていて、「軽量な仮想マシン」を用いることで安全なコンテナの実行環境を用意できるようです。gVisorとは少し違ったアプローチでとても興味深いので気が向いたときに調べてみようかと思います。
