Konttiteknologioissa

Konttiteknologiat ovat kevytvirtualisoinnin muoto, jossa sovellukset pakataan kontteihin. Kontit sisältävät ohjelman sekä sen tarvitsemat kirjastot ja riippuvuudet, mutta jakavat isäntäkäyttöjärjestelmän ytimen. Eristyksen saavuttaa prosessien kautta käyttämällä Linuxin nimistöt (namespaces) sekä cgroups-tilanhallinnan, minkä ansiosta kontit ovat kevyempiä, käynnistyvät nopeasti ja käyttävät vähemmän resursseja kuin perinteiset virtuaalikoneet.

Keskeisiä käsitteitä ovat kuva, kontti ja rekisteri. Kuva on siirrettävä paketti, jossa on sovellus ja sen riippuvuudet. Kontti luodaan kevyellä ajonaikaisella ympäristöllä (runtime). OCI-standardi määrittelee kuvan formaatin sekä perustason runtime-periaatteet. Käytännössä kontteja pyörittävät runC-pohjaiset runtimet sekä niiden päällä toimivat hallintaympäristöt, kuten Docker tai containerd (ja Kubernetesin yhteydessä CRI-O).

Orkestrointi mahdollistaa suurten konttialustojen automaattisen hallinnan. Kubernetes on johtava orkestrointiratkaisu, mutta käytössä ovat myös Docker Swarm ja Apache Mesos. Kuvia säilytetään rekistereissä, kuten Docker Hub tai yksityiset OCI-rekisterit. Turvallisuudessa keskeistä on kerroksellinen eristys sekä kuvan skannaus ja signeeraus. Edistyneet ratkaisut, kuten Kata Containers ja gVisor, tarjoavat vahvempaa eristystä. Kuvien signeeraus ja toimitusketjun turvallisuus voidaan tukea esimerkiksi Notarylla tai Sigstorella.

Käyttökohteet ja hyödyt: konttiteknologia tukee pilvi- ja reunalaskentaa, mikropalveluarkkitehtuureja sekä CI/CD-putkistoja. Keskeisiä etuja ovat erinomainen portabiliteetti, johdonmukaisuus eri ympäristöissä, nopea käynnistys sekä resurssien tehokas käyttö. Haasteina ovat monimutkaisuus, turvallisuusuhat sekä riippuvuuksien ja kuvatversioiden hallinta; vaatimus näkyvyydestä, valvonnasta ja automaattisista päivityksistä klustereissa.