docker - kata 容器可以用作沙箱来运行不受信任的代码吗？

Question

Kata 容器试图通过提供更多隔离来使容器安全。

lightweight Virtual Machines (VMs) that feel and perform like containers, but provide the workload isolation and security advantages of VMs.

如果我正在构建一个游乐场/代码 fiddle (类似于 ideone )，它们是否足够安全以编译和运行不受信任的代码？

对于这种类型的容器，这是一个好的/预期的用途吗？

Answer 1

Kata Containers 可能使用任何类型的工作负载，就像普通容器一样。它们背后的想法是提供常规容器无法提供的 VM 隔离。您可以将 Kata Container 与 Docker and Kubernetes 一起使用.

您可以使用 seccomp 之类的常规容器实现相当程度的隔离。 , SELinux , Capabilities , 和/或 AppArmor但它可能会变得相当复杂。 Kata Containers 提供了一个更简单的替代方案。