kubernetes - Kata 容器 vs gVisor？

Question

据我了解， Kata Containers

Kata Container build a standard implementation of lightweight Virtual Machines (VMs) that feel and perform like containers but provide the workload isolation and security advantages of VMs

另一方面，gvisor

gVisor is a user-space kernel for containers. It limits the host kernel surface accessible to the application while still giving the application access to all the features it expects.

据我所知，这两种技术都试图将linux空间添加到容器中以增​​强安全性。

我的问题是它们有何不同？功能是否有重叠？

Answer 1

根据我收集的信息:

卡塔容器

• 轻量级 QEMU/KVM 虚拟机之上的完整内核
  • 内核已在新版本中进行了优化。
• 让系统调用自由进行
• VM 层造成的性能损失。尚不清楚比 gVisor 慢或快多少
• 理论上，启动时间较慢。
• 可以运行任何应用程序。
• 如果虚拟机管理程序和硬件支持，则可以在嵌套虚拟化环境中运行。

gVisor

• 用户空间中的部分内核。
• 拦截系统调用
• 由于系统调用过滤而导致运行时的性能损失。尚不清楚比卡塔慢或快多少。
• 理论上，启动时间更快。
• 只能运行使用受支持的系统调用的应用程序。
• 理论上，您可能不需要嵌套虚拟化。