[論文レビュー] Comparative Study of Virtual Machines and Containers for DevOps Developers

Saurabh Deochake, Sumit Maheshwari+2 more|arXiv (Cornell University)|Aug 17, 2018

Cloud Computing and Resource Management被引用数 6

ひとこと要約

本論文は、実験的手法を用いて、DevOpsワークロードにおける仮想マシン（VM）とコンテナの比較を行い、パフォーマンス、リソース使用量、セキュリティを評価している。コンテナは起動時間、メモリ使用量、スケーラビリティにおいてVMを上回るが、VMは特に機密ワークロードにおいて優れた隔離性とセキュリティを提供する。

ABSTRACT

This paper presents a comparative study of virtual machines (VMs) and containers for DevOps developers. The study explores the benefits and drawbacks of each technology in terms of their functionality, performance, security, and resource utilization. The paper examines the underlying architecture of VMs and containers, and how they differ from each other. The study includes a series of experiments that compare the performance and resource utilization of VMs and containers in different scenarios. The experiments evaluate factors such as startup time, memory usage, disk I/O, network latency, scalability, and administrative overhead. Finally, the paper provides recommendations for DevOps developers on which technology to choose based on their specific requirements and use cases. Overall, the study aims to provide a comprehensive understanding of the strengths and limitations of VMs and containers, helping developers to make informed decisions when choosing between them.

研究の動機と目的

• 実世界のDevOpsシナリオにおける仮想マシン（VM）とコンテナのパフォーマンスおよびリソース効率を評価すること。
• 起動時間、メモリ使用量、ディスクI/O、ネットワーク遅延、管理オーバーヘッドの観点から、各技術の強みと限界を特定すること。
• カーネル共有、特権昇格、ネットワーク露出といったコンテナ環境におけるセキュリティ的トレードオフを評価すること。
• アプリケーション固有の要件やデプロイの優先順位に基づいた、DevOps開発者への実用的アドバイスを提供すること。

提案手法

• 同一のハードウェア上で、KVM/QEMUを用いたVMと、cgroupsおよびnamespacesを用いたDockerを用いたコンテナを対象に、制御された実験を実施した。
• 起動時間、メモリ消費量、ディスクI/O、ネットワーク遅延、CPU使用率といった主要指標におけるパフォーマンスを測定した。
• 同じワークロードの複数インスタンスをデプロイし、リソース消費量と応答時間を監視することで、スケーラビリティを評価した。
• 特権昇格、ネットワーク露出、カーネルレベルの脆弱性を含む攻撃表面積分析を通じて、セキュリティリスクを評価した。
• CRIU（ユーザー空間におけるチェックポイントおよびリカバリ）を用いてライブマイグレーションをテストし、運用上のレジリエンスとツールの成熟度を評価した。
• AppArmor、BlackDuck、Cilium、Dockscanなどのセキュリティツールを活用し、コンテナ化ワークロードの脆弱性を検出および緩和した。

実験結果

リサーチクエスチョン

• RQ1 VMとコンテナは、起動時間、メモリ使用量、ディスクI/Oパフォーマンスにおいて、どのように比較されるか？
• RQ2 VMの隔離と比較して、共有カーネルアーキテクチャがコンテナのセキュリティに与える影響は何か？
• RQ3 VMとコンテナにおけるネットワークアクセスと特権昇格リスクの違いは何か？
• RQ4 CRIUなどの既存ツールを用いてコンテナのライブマイグレーションを信頼性高く実現できるか？VMマイグレーションと比較するとどうなるか？
• RQ5 DevOpsチームは、どのような条件下でVMをコンテナよりも優先すべきか、逆にコンテナをVMよりも優先すべきか？

主な発見

• コンテナは、VMがフルOSの起動に数秒を要するのに対し、ミリ秒単位で測定された著しく速い起動時間を示した。
• 同じワークロードを実行した場合、コンテナのメモリ使用量はVMに比べて最大70％のオーバーヘッド削減が達成された。
• ディスクI/Oパフォーマンスは、コンテナがホストのファイルシステムに直接アクセスできるため、常に優れていた。一方、VMは追加の仮想化レイヤーの遅延を受ける。
• ネットワーク遅延はコンテナで低かったが、共有ネットワークスタックと制限のないコンテナ間通信のため、横方向の攻撃ベクトルへの露出が高かった。
• 特権コンテナの使用は深刻なセキュリティリスクを伴い、1つのコンテナが侵害されればホスト全体が危険にさらされる可能性があった。一方、VMはより強い隔離性を提供する。
• 著者らのテストでは、CRIUを用いたライブマイグレーションが失敗した。これは、ドキュメンテーション不足とツールキットのサポート不足に起因し、VMマイグレーションソリューションに比べてコンテナの運用上の制限が顕著であることを示している。