Исходное сообщение
"Google открыл gVisor, гибрид системы виртуализации и контейн..." Отправлено пох, 03-Май-18 10:53
> Интересно каких именно ограничений им не хватает в докере? очевидных. реальной а не виртуальной изоляции приложений, fine-grained изоляции ресурсов (докер, в силу родовой травмы, не может точно отмерять кусочек cpu/кусочек дискового throughput - то что умеет какой-нибудь openvz с незапамятных времен) >>а уязвимость в ядре Linux компрометирует всю систему изоляции > Как и уязвимость в gVisor. "выполняется от непривиллегированного пользователя", какое слово вам перевести? доцкер только _запускается_ от непривиллегированного пользователя, внутри полагаясь на ифраструктуру ядра, обеспечивающую этим пользователям, внезапно, root equivalence, периодически проламываемую до рута на хост-системе. другое дело, что эта гуглохрень наследует все инфраструктурные проблем доскера, поскольку без него неработоспособна, в ней работает аж три полезные и пять бесполезных программ, а вместо cgroups полагается на kvm, которая обеспечивает не root, а сразу kernel level equivalence, и которую точно так же ломали, ломают и ломать будут. зато на го.