Kata Containers中如何配置Sysctl内核参数-优快云博客

本文链接：https://blog.youkuaiyun.com/gitblog_00818/article/details/148487508

Kata Containers中如何配置Sysctl内核参数

kata-containers Kata Containers is an open source project and community working to build a standard implementation of lightweight Virtual Machines (VMs) that feel and perform like containers, but provide the workload isolation and security advantages of VMs. https://katacontainers.io/ 项目地址: https://gitcode.com/gh_mirrors/ka/kata-containers

什么是Sysctl

Sysctl是Linux系统中用于动态修改内核参数的接口，这些参数通过虚拟文件系统/proc/sys/暴露给用户空间。内核参数涵盖了多个子系统：

文件系统(fs)
内核行为(kernel)
网络配置(net)
虚拟内存(vm)

查看所有可用内核参数：

sudo sysctl -a

Kubernetes中的Sysctl支持

Kubernetes提供了对命名空间隔离的Sysctl参数(namespaced sysctls)的支持，这些参数可以在Pod级别进行配置。常见的可命名空间隔离参数包括：

kernel.shm* (共享内存相关)
kernel.msg* (System V消息队列)
kernel.sem (System V信号量)
fs.mqueue.* (POSIX消息队列)
net.* (网络子系统)

Kata Containers中的Sysctl实现

Kata Containers作为安全容器运行时，其Sysctl参数的设置方式与普通Linux容器有所不同，因为参数是在虚拟机客户机(Guest)内部设置的。

命名空间隔离参数的配置

在Kubernetes中配置命名空间隔离参数时，Kata Containers会将这些参数传递到虚拟机内部生效。配置方式与普通容器相同：

apiVersion: v1
kind: Pod
metadata:
  name: sysctl-example
spec:
  securityContext:
    sysctls:
    - name: kernel.shm_rmid_forced
      value: "0"
    - name: net.ipv4.route.min_pmtu
      value: "1024"

关于安全与不安全参数

Kubernetes将Sysctl参数分为安全(safe)和不安全(unsafe)两类。要使用不安全参数，集群管理员需要显式允许：

kubelet --allowed-unsafe-sysctls 'kernel.msg*,net.ipv4.route.min_pmtu'

或者通过kubeadm配置文件：

apiVersion: kubeadm.k8s.io/v1alpha3
kind: InitConfiguration
nodeRegistration:
  kubeletExtraArgs:
    allowed-unsafe-sysctls: "kernel.msg*,kernel.shm.*,net.*"

非命名空间隔离参数的配置

对于无法命名空间隔离的参数，Kubernetes禁止在Pod中直接设置。在Kata Containers环境中，由于运行在隔离的虚拟机中，主机上的Sysctl设置不会影响容器内部。

推荐使用特权(privileged)初始化容器来设置这类参数：

apiVersion: v1
kind: Pod
metadata:
  name: busybox-kata
spec:
  runtimeClassName: kata-qemu
  containers:
  - name: busybox-container
    image: debian
    command: ["sleep", "3000"]
  initContainers:
  - name: init-sys
    securityContext:
      privileged: true
    image: busybox
    command: ['sh', '-c', 'echo "64000" > /proc/sys/vm/max_map_count']

这种方式的优势：