Docker acquiert Unikernel Systems : au-delà des conteneurs
Avec l’acquisition d’Unikernel Systems, Docker met la main sur une technologie qui pourrait un jour remplacer ses conteneurs dans le monde de la virtualisation.
Docker vient-il de s’assurer une pérennité dans le monde de la virtualisation ?
L’entreprise américaine a mis la main sur une technologie qui pourrait un jour remplacer – au moins partiellement – ses conteneurs : les unikernels.
Elle n’acquiert pas la technologie en elle-même, mais s’attache les compétences de ses principaux contributeurs, fédérés au sein de la start-up britannique Unikernel Systems.
Dans cette équipe figurent notamment d’anciens développeurs de l’hyperviseur Xen. Ils côtoient les artisans de divers projets, dont le système d’exploitation MirageOS.
Celui-ci est justement fondé sur le concept de l’unikernel, aussi appelé « OS cloud ».
Il s’agit de systèmes d’exploitation légers que l’on crée à partir de composants d’autres OS et qui sont conçus pour être exécutés exclusivement sur des machines virtuelles.
Le fait que l’unikernel ne soit pas fait pour fonctionner sur du hardware permet d’éliminer la complexité associée aux pilotes logiciels.
L’unikernel n’est généralement pas non plus pensé pour être multi-utilisateur ou multitâche : il est créé pour une application donnée.
Techniquement parlant, on sélectionne les bibliothèques nécessaires à l’exécution de l’application, puis on les compile avec cette application et les paramètres de configuration sous la forme d’unikernels, capables de fonctionner de manière autonome.
Un fonctionnement comparable à celui des conteneurs de Docker, mais avec moins de ressources consommées et davantage de sécurité.
Ces deux attributs sont liés : pas de shell, de pilotes, ni d’utilitaires, c’est une exécution plus fluide et une surface d’attaque minimisée. D’autant plus que la plupart des unikernels se compilent au niveau de la couche applicative : le code est donc adapté à chaque application, ce qui complique la prolifération des menaces.
L’unikernel – plus long à compiler que le conteneur – est par ailleurs associé à une seule adresse mémoire : pas besoin de gérer les transferts de privilèges pour les interactions entre le noyau et l’environnement utilisateur.
On citera l’exemple du projet ClickOS, qui revendique des VM de 5 Mo démarrant en 20 ms, avec une latence de 45 ms et « plus de 100 applications » exécutables en parallèle sur un lien 10 Gbit.
Crédit photo : Bob Venezia – Shutterstock.com