gVisor
Mehr Infos
- Erstellt von
- Jahr
- Eigentümer
- Typ
- User-Space-Kernel / Sandbox
- Lizenz
- Apache 2.0
- Offizielle Website
- gvisor.dev
- Quellcode
- github.com/google/gvisor
Googles User-Space-Kernel — fängt Syscalls des Containers ab und implementiert sie in einem sandboxed Go-Prozess neu, statt sie den Host-Linux-Kernel sehen zu lassen.
Zwei Modi: ptrace (langsam, funktioniert überall) und KVM (schneller, benötigt Virtualisierung). Implementiert eine Teilmenge der Linux-API — manche Workloads, die an ungewöhnlichen Syscalls oder Perf-Countern herumstochern, funktionieren nicht.
Treibt Google Cloud Run, App Engine Standard und Kaggle-Notebooks an. Solide Defense-in-Depth gegen Kernel-Exploits — selbst wenn ein Angreifer den Container per RCE übernimmt, sieht er nur gVisors kleine Syscall-Oberfläche. Kompromiss: 10–30 % Overhead bei I/O-lastigen Workloads.