kata 容器可以用作沙箱来运行不受信任的代码吗？

Question

Kata 容器试图通过提供更多的隔离来使容器安全。

轻量级虚拟机 (VM) 的感觉和性能类似于容器，但提供了 VM 的工作负载隔离和安全优势。

如果我正在构建一个操场/代码小提琴（类似于ideone ），它们是否足够安全以编译和运行不受信任的代码？

这是此类容器的良好/预期用途吗？

Answer 1

Kata Containers可以使用任何类型的工作负载，就像常规容器一样。 它们背后的想法是提供常规容器无法获得的 VM 隔离。 您可以将 Kata Container 与Docker 和 Kubernetes 结合使用。

您可以使用诸如seccomp 、 SELinux 、 Capabilities和/或AppArmor 之类的常规容器实现不错的隔离级别，但它可能会变得非常复杂。 Kata Containers 提供了一种更简单的替代方案。

Answer 2

它可以使用，但它不是最安全的方法。
我想gVisor将是用作沙箱的更好选择。
在容器技术中，主机操作系统可以从容器内部访问，并且不能免受外部人员的有害操作。
虚拟机和管理程序或主机操作系统也是如此。 因此，可以安全地假设 Kata Containers 和底层 Hypervisor 可能存在同样的问题。