[论文解读] Comparative Study of Virtual Machines and Containers for DevOps Developers

Saurabh Deochake, Sumit Maheshwari+2 more|arXiv (Cornell University)|Aug 17, 2018

Cloud Computing and Resource Management被引用 6

一句话总结

本文通过实验对比了虚拟机（VMs）与容器在DevOps工作负载中的表现，评估了性能、资源使用和安全性。结果表明，容器在启动时间、内存使用和可扩展性方面优于虚拟机，但虚拟机在隔离性和安全性方面表现更优，尤其适用于敏感工作负载。

ABSTRACT

This paper presents a comparative study of virtual machines (VMs) and containers for DevOps developers. The study explores the benefits and drawbacks of each technology in terms of their functionality, performance, security, and resource utilization. The paper examines the underlying architecture of VMs and containers, and how they differ from each other. The study includes a series of experiments that compare the performance and resource utilization of VMs and containers in different scenarios. The experiments evaluate factors such as startup time, memory usage, disk I/O, network latency, scalability, and administrative overhead. Finally, the paper provides recommendations for DevOps developers on which technology to choose based on their specific requirements and use cases. Overall, the study aims to provide a comprehensive understanding of the strengths and limitations of VMs and containers, helping developers to make informed decisions when choosing between them.

研究动机与目标

• 评估虚拟机（VMs）和容器在真实DevOps场景下的性能和资源效率。
• 识别每种技术在启动时间、内存使用、磁盘I/O、网络延迟和管理开销方面的优缺点。
• 评估安全权衡，特别是容器环境中内核共享、权限提升和网络暴露方面的问题。
• 基于应用程序特定需求和部署优先级，为DevOps开发人员提供可操作的建议。

提出的方法

• 在相同硬件上，通过受控实验对比了使用KVM/QEMU的虚拟机与使用Docker（结合cgroups和namespaces）的容器。
• 测量了关键指标的性能表现：启动时间、内存消耗、磁盘I/O、网络延迟和CPU利用率。
• 通过部署多个相同工作负载的实例，评估可扩展性，并监控资源消耗和响应时间。
• 通过攻击面分析评估安全风险，包括权限提升、网络暴露和内核级漏洞。
• 使用CRIU（用户空间中的检查点与恢复）测试了实时迁移，以评估操作弹性与工具成熟度。
• 采用AppArmor、BlackDuck、Cilium和Dockscan等安全工具，检测并缓解容器化工作负载中的漏洞。

实验结果

研究问题

• RQ1 在启动时间、内存使用和磁盘I/O性能方面，虚拟机与容器有何差异？
• RQ2 与虚拟机隔离相比，共享内核架构对容器安全性的具体影响是什么？
• RQ3 虚拟机与容器在网络访问和权限提升风险方面有何不同？
• RQ4 使用现有工具（如CRIU）能否可靠实现容器的实时迁移？与虚拟机迁移相比表现如何？
• RQ5 在何种条件下，DevOps团队应优先选择虚拟机而非容器，反之亦然？

主要发现

• 容器的启动时间显著更快——以毫秒计，而虚拟机由于需要完整操作系统启动，通常需要数秒。
• 容器的内存使用量明显更低，在运行相似工作负载时，相比虚拟机可减少高达70%的开销。
• 由于可直接访问主机文件系统，容器的磁盘I/O性能始终更优，而虚拟机则因虚拟化层引入了额外延迟。
• 容器的网络延迟更低，但其网络栈共享特性导致更高的横向攻击面，且容器间通信未受限制。
• 使用特权容器存在重大安全风险，因为一个容器被攻破可能导致整个主机被控制，而虚拟机则提供了更强的隔离能力。
• 在作者的测试中，使用CRIU进行实时迁移失败，原因在于文档不足和工具支持薄弱，凸显了容器在实时迁移方面相较于成熟虚拟机迁移方案的关键操作局限性。