谷歌是如何改进 GKE、Cloud Run 的 gVisor 文件系统性能的？

【本文由Cloud Ace整理发布，谷歌云服务请访问 Cloud Ace 官网】

灵活的应用程序架构、CI/CD 管道和容器工作负载通常运行不受信任的代码，因此应该与敏感的基础设施隔离。一种常见的解决方案是部署纵深防御产品（如使用gVisor的GKE Sandbox）以通过额外的保护层隔离工作负载。Google Cloud 的无服务器产品（App Engine、Cloud Run、Cloud Functions）也使用 gVisor 对应用程序工作负载进行沙箱处理。

然而，增加防御层也会带来新的性能挑战。当 gVisor 的用户空间内核需要多个操作来遍历文件系统路径时，然后谷歌发现了一个这样的挑战。为了解决这个问题并显着提高 gVisor 的性能，编写了一个全新的文件系统层，同时考虑到性能，同时保持相同级别的安全性。新文件系统 (VFS2) 减少了为文件系统系统调用提供服务所需的操作数，减少了锁争用，更有效地分配内存，并提高了与 Linux 的兼容性。