gVisor
詳細情報
- 作成者
- 公開
- 提供元
- 種類
- ユーザー空間カーネル / サンドボックス
- ライセンス
- Apache 2.0
- 公式サイト
- gvisor.dev
- ソースコード
- github.com/google/gvisor
Googleが開発したユーザー空間カーネル。コンテナのシステムコールを横取りし、ホストのLinuxカーネルではなくGoで書かれたサンドボックス内のプロセスで再実装する。
動作モードは二つある。どこでも動くが遅い ptrace と、仮想化支援が必要だが高速な KVM である。実装するのはLinux APIの一部に限られるため、特殊なシステムコールやパフォーマンスカウンタを使うワークロードは動かないことがある。
Google Cloud Run、App Engine スタンダード、Kaggle ノートブックの基盤として使われている。コンテナ内でRCEを許したとしても、攻撃者に見えるのはgVisorの小さなシステムコール面だけで、カーネル脆弱性に対する多層防御として有効だ。代償として、I/O負荷の高い処理では10〜30%のオーバーヘッドが出る。