피드로 돌아가기
Dev.toInfrastructure
원문 읽기
Cold-start 20ms~500ms 차이, Threat Model 기반 Container Runtime 최적 설계
The Container Runtime Nobody Told You About (And Four Others)
AI 요약
Context
기본 runc 기반 Isolation 모델은 Host Kernel 공유 구조로 인한 보안 취약점 및 Threat Model 대응 한계 존재. 특히 Multi-tenant 환경에서 Container Escape 공격 및 Kernel CVE를 통한 Host 침범 가능성에 대한 구조적 해결책 필요.
Technical Solution
- Distroless + runc: OS Shell 및 Package Manager 제거를 통한 Attack Surface 최소화 및 이미지 크기 3.0MB 최적화
- gVisor (runsc): User-space Kernel인 Sentry 도입을 통해 모든 Syscall을 인터셉트함으로써 Host Kernel 직접 접근 차단
- Kata Containers (QEMU): 전용 Kernel을 포함한 MicroVM 구동을 통해 Hardware-enforced Boundary 기반의 강력한 격리 구현
- Kata Containers (Firecracker): VM 수준의 보안성을 유지하며 Cold-start 시간을 단축한 Lightweight VMM 적용
- WASM/WASI: Kernel 기반 격리가 아닌 Capability-based Isolation 모델을 통한 플랫폼 독립적 샌드박스 구현
실천 포인트
1. 신뢰 가능한 내부 서비스인가? → runc + Distroless 검토
2. 사용자 정의 코드(CI/CD, SaaS Plugin) 실행 환경인가? → gVisor 도입 고려
3. 규제 준수 및 VM 수준의 커널 격리가 필수적인가? → Kata + QEMU 적용
4. 빠른 시작 시간이 중요한 Serverless/AI Inference 플랫폼인가? → Kata + Firecracker 채택
5. Edge 환경의 초경량 이식성이 필요한가? → WASM/WASI 설계 검토