容器應該是公有雲的一等公民——Hyper王旭訪談

在大會前夕，高可用架構採訪了本屆 GIAC容器及虛擬化分論壇出品人王旭，就目大家廣泛關注的容器和虛擬化方面的問題進行了訪談。

王旭 Hyper Cofounder 與 CTO，HyperContainer 項目的最初作者，kata containers 項目 Arch committee 初始成員。曾就職於中國移動研究院，是大雲項目最初核心成員之一，並負責協調中國移動雲計算方面的開源與標準化工作。之後在盛大雲計算負責彈性塊存儲服務。2015 年創立 Hyper 虛擬化容器項目，2017 年與 Intel 和 OpenStack foundation一起發起 kata containers 項目。同時也是一位 Linux, 雲計算、大數據等領域的作/譯者。

高可用架構：你們當初是如何想到要做 HyperContainer 這樣一個項目的？到後來的 Kata Container，它們是什麼樣的關係？ 可否簡單給大家解釋下，虛擬化容器和虛擬機以及容器有什麼關係和差異？

王旭：首先說緣起，當 Docker 開始崛起的時候，很多人都意識到，這並非傳統意義上的容器（Linux Container），而是代表了一種新的應用封裝方式——將應用所依賴的所有用戶態內容完整打包，從而使之具有極強的自完備性。正如 Docker 的座右銘「Build, Ship, Run」 所諭示的，這是一個自完備的運維流程，擺脫了應用部署對操作系統環境的依賴，也極大降低了 DevOps 的複雜度。這一方面讓運維的工作被極大簡化，因而收到追捧，另一方面對傳統運維又有很強的顛覆性，從而帶來一系列震動。

毫無疑問，作為一種應用容器技術，Docker 所代表的是未來的方向，而同時，雲是另一個「大勢所趨」，所以自然地，在雲上運行容器也將是眾望所歸的。讓容器成為一等公民跑上雲，這之中還缺少的一環就是隔離性，容器和宿主機之間的交互界面是操作系統 ABI，這一方面非常通用化，另一方面卻使得攻擊面過寬（Linux 有超過300個系統調用），從而使得人們無法承擔這之中的安全風險。加固容器固然是一種思路，但本身從方法論上來說有一定困難，我們嘗試了另一種思路——用虛機來做一種容器，只要在另一方面優化到足夠的性能，就可以起到隔離的容器的效果，這就是 HyperContainer。

與 Hyper 同時，intel 在同一個星期（2015年5月）也發布了他們的類似項目 clear container，從此兩個項目彼此獨立發展了兩年，在這兩年中，彼此借鑒了一些對方的長處，clear container 甚至在後來使用了 hypercontainer 的虛機中的 agent —— hyperstart。最終，在2017年年底的 KubeCon 上，我們宣布把兩個項目合二為一，成為 KataContainers，也方便用戶採納虛擬化容器技術。

在這裡，虛擬化容器是使用虛擬機技術來承載的容器，並未像傳統虛機一樣運行完整的操作系統。從系統管理員看，它們是虛擬機，而從應用來看，它們就是普通的容器。

高可用架構：Google 前一段時間發布了 gVistor，也是基於虛擬化技術的容器，它和 Kata Container 是競爭對手嗎？二者的特性以及架構上有什麼異同？

王旭：先說異同，gVisor 並不完全是基於虛擬化技術的容器，它也可以不基於虛擬化技術。它的機制是利用 syscall 攔截、獨立 kernel 進行 syscall 處理、過濾，並將部分 syscall 交給宿主機執行。也就是說，gVisor 作為一個容器，它嚮應用提供的介面是 Linux ABI （gVisor 獨立實現了大約2/3的 syscall，盡量和 linux 內核兼容），而向宿主方面，則會有六十多個 Linux syscall。也就是說它的核心是 syscall 的翻譯、處理和轉移執行。相對於 Kata Containers

• gVisor 在資源管理的動態性上有先天優勢，因為它的內存管理是交給宿主來完成的。

• Kata Containers 在對 image 的兼容性、通用性方面有先天優勢，因為 gVisor 並沒有一個真的 Linux 內核。

• 對於 syscall 比較多的應用，比如 IO 繁重的應用，gVisor 的 syscall 捕獲工作方式會帶來一定的開銷，具體開銷的大小由使用的捕獲方式決定。

可以看到，兩種技術側重點並不重疊，但 gVisor 帶來的好處是讓更多的人認識到，容器的隔離性開始有了更多成熟的解決方案，容器可以開始成為多租戶環境的一等公民了。因此，我們是非常樂於見到更多的隔離容器技術出現的，所以，在gVisor 官方博客中，我給了這些祝福語——Hyper 非常高興看到 gVisor 這樣全新的提高容器隔離性的方法。行業需要一個強大的安全容器技術生態系統，我們期待通過與 gVisor 的合作讓安全容器成為主流。

高可用架構：KubeCon Europe 2018 剛剛結束，你覺得有哪些新的亮點可以和大家分享的？

王旭：KubeCon 中，實際上我們用了很多時間來和 gVisor 團隊、Kubernetes Node 團隊進行了面對面的溝通，更多了解彼此的優勢、期望，這些已經在上面的回答中提現了。這次峰會中，我們看到容器環境的隔離性得到了前所未有的重視，也看到 Kubernetes 作為一個平台，對定製化、插件化的支持日臻完善，Kubernetes 正在成為一個更加成熟和完善可依賴的生態系統。

高可用架構：Serverless 是雲計算領域的一個新熱點，你如何看待 Serverless 以及它和容器的關係？如果 Serverless 逐漸普及，容器變成 Serverless 後面的支撐，對開發者透明，對容器會有什麼影響？

王旭：簡單地說，就我所見，Serverless 是大家追求的一種服務端應用的部署方式，service without server，從 PaaS 到 Serverless 是一脈相承的。而目前所見，對 Serverless 支持最好的技術就是容器——輕便快速，且開發部署方便，目前又有很好的平台支持。

容器技術應該說不會完全走向幕後，就像是虛機乃至物理機的使用都不會就此消失一樣，然而，走向幕後並不意味著黯然落幕，正如泛在計算的先賢 Mark Weiser 在 1991 年展望 21 世紀的計算技術時所說——「The most profound technologies are those that disappear. They weave themselves into the fabric of everyday life until they are indistinguishable from it.」 （那些消失不見的技術才是最卓越的技術，因為他們已經深深融入到我們的日常生活之中，以至於我們無法從中尋出蹤跡。）

高可用架構：容器剛出現時，有容器和虛擬機之爭。到現在，容器本身已經吸納了虛擬化技術，下一步會如何發展？容器以及 Kubernetes 技術的發展是否會動搖以傳統虛擬機技術為基礎的公有雲的地位？

王旭：我個人認為，以容器為一等公民的公有雲應用將逐漸擴大，並成為公有雲的主流技術之一，但是，是以直接的容器運行方式，還是以 serverless 的方式，乃至其他方式展現給用戶，仍然要看整個產業發展的情況而定。而當前容器技術和虛擬化技術，乃至更多的隔離技術將會逐漸融合、互相影響，最終構成完成的容器圖譜（spectrum），更好的適應不同的場景。

高可用架構：最近看到發布了 Hyper Pi https://hyper.sh/pi/, 能否簡單介紹一下這個服務？它相當於一個公有的 Kubernetes 服務？和現有的公有 Kubernetes 服務有什麼區別？看起來是用戶不需要關心 node，是否可以理解成所有用戶共享一個多租戶的 Kubernetes 集群？

王旭：我們把 Hyper Pi 叫做 Serverless Kubernetes，取的是 Serverless 最初和 lambda 一起被提出的時候的願意—— service without server，也就是說，用戶使用服務，但不需要擁有（租賃）並管理伺服器，正如你描述的那樣，用戶不關心 node，只使用服務就可以了。目前 Pi 提供的是一個 Kubernetes API 的以 Pod/Service 為核心的子集，不過將來會逐步拓展。

相對於最初的 hyper.sh，Pi 一方面轉而提供目前已經更加成熟的 Kubernetes API，操作也以 Pod 為中心，允許用戶在同一個 Pod 之中運行多個 container；另一方面，隨著我們對運行時技術的改進，我們不再自己維護 IDC 中的物理機，轉而將平台建在了 Google Cloud 之上，未來還會拓展到其他雲上。這一改變讓我們的服務具有更好的彈性、更能利用上已有雲服務商的網路接入條件，而對於在各大公有雲上存儲數據的用戶來說，這也加速了他們的訪問。

最後，所有用戶共享多租戶的 Kubernetes 集群，這沒有錯，確實如此，而且實際上原來的 hyper.sh 雖然提供的 docker API，實際上也是由多租戶的 Kubernetes （我們稱之為 Hypernetes）來驅動的。

高可用架構：以你自己的工作以及創業的經驗來看，以開源方式創業有什麼優缺點或者差異？有什麼經驗想給大家分享？

王旭：開源創業在很大程度上只是創業的一種方式，既然是創業，技術、產品、市場都需要考慮，都需要付出，大家並沒有太大差別，開源並不比其他有什麼顯著的優越性或特別的地方。如果說有什麼差異性的話，開源的圈子裡，大家更加透明一些，不管是招人、了解項目還是社交圈子，都彼此更容易深入了解一些，從而在技術圈更容易交流一些，作為硬幣的另一面，因為比較透明，所以，商業方面就需要多費腦筋想出差異化和特別之處了。

高可用架構：對 GIAC 大會有什麼期望或者寄語？

王旭：謝謝大會給的這個交流的機會，期待在會上認識更多的朋友，獲得更多的靈感吧。

本文採訪編輯王淵命，技術原創及架構實踐文章，歡迎通過公眾號菜單「聯繫我們」進行投稿。

本期 GIAC 大會上，容器與虛擬化部分的精彩議題如下：

參加 GIAC，盤點2018最新技術。點擊「閱讀原文」了解大會更多詳情。

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！