[論文レビュー] On Static Verification of Puppet System Configurations.

Joseph Collard, Nimish Gupta+3 more|arXiv (Cornell University)|Sep 17, 2015

Advanced Software Engineering Methodologies被引用数 3

ひとこと要約

この論文では、形式的意味論とSMTソルバーを用いて、音声的で完全かつスケーラブルな決定性解析を実行する、Puppet設定用の静的検証ツールRehearsalを提示する。この手法により、非決定的動作の検出や、idempotency（同一性）などの性質の検証が可能となり、大規模システムにおける設定の信頼性が著しく向上する。

ABSTRACT

Large-scale data centers and cloud computing have turned system configuration into a challenging problem. Several widely-publicized outages have been blamed not on software bugs, but on configuration bugs. To cope, thousands of organizations use system configuration languages to manage their computing infrastructure. Of these, Puppet is the most widely used with thousands of paying customers and many more open-source users. The heart of Puppet is a domain-specific language that describes the state of a system. Puppet already performs some basic static checks, but they only prevent a narrow range of errors. Furthermore, testing is ineffective because many errors are only triggered under specific machine states that are difficult to predict and reproduce. With several examples, we show that a key problem with Puppet is that configurations can be non-deterministic. This paper presents Rehearsal, a verification tool for Puppet configurations. Rehearsal implements a sound, complete, and scalable determinacy analysis for Puppet. To develop it, we (1) present a formal semantics for Puppet, (2) use several analyses to shrink our models to a tractable size, and (3) frame determinism-checking as decidable formulas for an SMT solver. Rehearsal then leverages the determinacy analysis to check other important properties, such as idempotency. Finally, we apply Rehearsal to several real-world Puppet configurations.

研究の動機と目的

• 大規模データセンターやクラウド環境における設定由来の障害の増加という問題に対処すること。
• テストでは捉えきれない、Puppet設定における非決定的動作を特定・防止すること。
• Puppetにおける設定の決定性を決定づける、スケーラブルで音声的かつ完全な静的解析手法の開発。
• idempotencyなどの追加的な重要な性質の検証を拡張すること。
• 実世界のPuppet設定を対象にアプローチを評価し、実用的適用可能性を示すこと。

提案手法

• 厳密で実行可能なモデルを用いてPuppetの意味論を形式化し、きめ細やかな解析を可能にする。
• モデルのサイズを縮小しスケーラビリティを向上させるために、複数の静的解析を適用する。
• 決定性の検査をSMTソルバーに適した決定可能な論理式にエンコードする。
• SMTベースの決定性解析を活用し、idempotencyのような上位レベルの性質を検証する。
• 実世界の設定のエンドツーエンド検証を可能にするツールRehearsalに解析を統合する。
• 記号実行と制約解決を用いて、すべての可能な設定実行パスを探索する。

実験結果

リサーチクエスチョン

• RQ1 Puppetのための形式的意味論を定義することで、設定動作のきめ細やかな静的解析を可能にできるか？
• RQ2 大規模なPuppet設定に対して、音声的かつ完全な決定性解析を実行できるか？
• RQ3 決定性検査をSMTソルバーに適した決定可能な論理式に還元することは可能か？
• RQ4 決定性解析を再利用することで、idempotencyのような他の重要な性質の検証が可能か？
• RQ5 このアプローチは、実世界の展開において非決定的で不具合のある設定を効果的に検出できるか？

主な発見

• Rehearsalは、テストでは捉えきれない非決定的設定を効果的に同定する。
• Puppetの形式的意味論により、設定実行と状態遷移の正確なモデル化が可能になる。
• SMTソルバーと静的解析の統合により、スケーラブルで完全な決定性チェックが実現される。
• ツールは、実際の生産用Puppetコードベースにおける不具合を検出しており、それらはシステムの不安定化を引き起こす可能性がある。
• 解析は音声的かつ完全であるため、決定性検証において偽陰性が発生しない。
• 決定性解析を再利用することでidempotencyの検証が効果的に実行され、設定の信頼性が向上する。