kata 容器可以用作沙箱來運行不受信任的代碼嗎？

Question

Kata 容器試圖通過提供更多的隔離來使容器安全。

輕量級虛擬機 (VM) 的感覺和性能類似於容器，但提供了 VM 的工作負載隔離和安全優勢。

如果我正在構建一個操場/代碼小提琴（類似於ideone ），它們是否足夠安全以編譯和運行不受信任的代碼？

這是此類容器的良好/預期用途嗎？

Answer 1

Kata Containers可以使用任何類型的工作負載，就像常規容器一樣。 它們背后的想法是提供常規容器無法獲得的 VM 隔離。 您可以將 Kata Container 與Docker 和 Kubernetes 結合使用。

您可以使用諸如seccomp 、 SELinux 、 Capabilities和/或AppArmor 之類的常規容器實現不錯的隔離級別，但它可能會變得非常復雜。 Kata Containers 提供了一種更簡單的替代方案。

Answer 2

它可以使用，但它不是最安全的方法。
我想gVisor將是用作沙箱的更好選擇。
在容器技術中，主機操作系統可以從容器內部訪問，並且不能免受外部人員的有害操作。
虛擬機和管理程序或主機操作系統也是如此。 因此，可以安全地假設 Kata Containers 和底層 Hypervisor 可能存在同樣的問題。