firecracker

我們的任務是啟用容器和功能工作負載的安全，多租戶，最小化的執行。

在此處閱讀有關Firecracker憲章的更多信息。

什麼是鞭炮？

FireCracker是一種開源虛擬化技術，是為創建和管理提供無服務器操作模型的安全，多租戶和基於功能的服務的專門構建的。 FiRecracker在輕巧的虛擬機中運行工作負載，稱為MicroVM，將硬件虛擬化技術提供的安全性和隔離屬性與容器的速度和靈活性相結合。

概述

FiRecracker的主要組件是使用Linux內核虛擬機（KVM）創建和運行Microvms的虛擬機監視器（VMM）。鞭炮的設計極簡。它不包括不必要的設備和麵向客人的功能，以減少每個微VM的內存足跡和攻擊表面積。這可以提高安全性，減少啟動時間並增加硬件利用率。鞭炮也已集成到容器運行時，例如Kata容器和Flintlock。

FireCracker是在Amazon Web Services開發的，以加快AWS Lambda和AWS Fargate等服務的速度和效率。 Firecracker在Apache 2.0版中開源。

要了解有關鞭炮的更多信息，請查看Firecracker-Microvm.io。

入門

要開始使用FireCracker，請下載最新版本的二進製文件或從源頭構建。

您可以在任何具有Docker運行的Unix/Linux系統（我們使用開發容器）並安裝bash上構建鞭炮，如下所示：

git clone https://github.com/firecracker-microvm/firecracker
cd firecracker
tools/devtool build
toolchain= " $( uname -m ) -unknown-linux-musl "

鞭炮二進制將放置在build/cargo_target/${toolchain}/debug/firecracker 。有關構建，測試和運行鞭炮的更多信息，請訪問《快速啟動指南》。

Firecracker Microvms的總體安全性，包括滿足安全多租戶計算標準的能力，取決於配置良好的Linux主機操作系統。我們認為符合此欄的配置包含在生產主機設置文檔中。

貢獻

FireCracker已經在AWS內運行生產工作負載，但是在我們任務的指導下，這仍然是第一天。還有更多的建設，我們歡迎所有貢獻。

為了為鞭炮做出貢獻，請查看“入門指南”中的開發設置部分，然後查看Firecracker貢獻指南。

發行

新的鞭炮版本通過GITHUB存儲庫版本發布，通常每兩個或三個月發布。變化的歷史記錄在我們的Changelog中。

此處詳細介紹了Firecracker發布策略。

設計

設計文檔中描述了Firecracker的整體體系結構。

功能和功能

FireCracker由一個單個微虛擬機管理器進程組成，該過程將API端點暴露於主機後。 API以OpenAPI格式指定。在API文檔中閱讀有關它的更多信息。

API端點可用於：

• 配置MicroVM：
  • 設置VCPU的數量（默認值為1）。
  • 設置內存大小（默認值為128 MIB）。
  • 配置CPU模板。
• 將一個或多個網絡接口添加到MicroVM。
• 將一個或多個讀寫或僅讀取磁盤添加到MicroVM，每個磁盤由文件支持的塊設備表示。
• 客人運行時觸發塊設備重新掃描。這使訪客操作系統可以將尺寸更改為塊設備的備份文件更改。
• 在訪客靴子之前或之後，更改塊設備的背景文件。
• 為VIRTIO設備配置速率限制器，這些設備可以限制帶寬，每秒操作或兩者兼而有之。
• 配置記錄和公制系統。
• [BETA]配置面向客座元數據服務的數據樹。該服務僅在配置此資源時才可供來賓使用。
• 將VSOCK插座添加到MicroVM。
• 將熵設備添加到MicroVM。
• 使用給定的內核映像，根文件系統和引導參數啟動MicroVM。
• [僅x86_64]停止微V。

內置功能：

• 默認情況下，需求故障分頁和CPU超額要求。
• 高級，特定於線程的SECCOMP過濾器，以增強安全性。
• 在生產方案中開始鞭炮的獄卒；應用CGroup/命名空間隔離屏障，然後丟棄特權。

經過測試的平台

我們測試所有組合：

實例	主持人OS和內核	來賓rootfs	來賓內核
c5n。金屬	Al2 Linux_5.10	Ubuntu 24.04	Linux_5.10
m5n.metal	AL2023 Linux_6.1		Linux_6.1
M6i.Metal
m6a.Metal
M6G
M7G

已知問題和限制

• AARCH64上的pl031 RTC設備不支持中斷，因此使用RTC警報（例如hwclock ）的來賓程序將無效。

表現

鞭炮的性能特徵被列為規範文檔的一部分。所有規格都是我們致力於在無服務器操作模型中支持容器和功能工作負載的承諾的一部分，因此可以通過連續集成測試執行。

安全披露政策

鞭炮的安全是我們的重中之重。如果您懷疑自己已經發現了一個漏洞，請按照我們的安全政策文件中概述的方式私下聯繫我們；我們將立即確定您的披露。

常見問題和聯繫人

常見問題是在我們的常見問題文檔中收集的。

您可以通過以下方式與Firecracker社區取得聯繫：

• 與安全有關的問題，請參閱我們的安全策略文件。
• 在我們的Slack工作區中與我們聊天：大多數維護人員都位於歐洲時區。
• 在此存儲庫中打開一個GitHub問題。
• 通過[email protected]向維護者發送電子郵件。

在鞭炮社區中進行交流時，請注意我們的行為準則。