운영체제 수준 가상화

3. 활용

운영체제 수준 가상화는 주로 가상 호스팅 환경에서 사용된다. 이는 서로 신뢰하지 않는 여러 사용자에게 한정된 하드웨어 자원을 안전하게 할당하는 데 유용하다. 시스템 관리자는 이 기술을 사용하여 여러 호스트에 분산된 서비스를 하나의 서버 컨테이너로 통합함으로써 서버 하드웨어를 효율적으로 관리할 수 있다.

또한, 여러 애플리케이션을 각각의 컨테이너로 분리하여 보안을 강화하고, 하드웨어 의존성을 줄이며, 추가적인 자원 관리 기능을 확보하는 데에도 활용된다.^[3] 다만, chroot 메커니즘을 이용한 보안 강화는 완벽하지 않을 수 있다는 점에 유의해야 한다.^[4] 실시간 이관 기능이 있는 운영체제 수준 가상화 구현은 클러스터 내 노드 간 컨테이너의 동적 부하 분산에도 사용될 수 있다.

3. 1. 오버헤드

3. 2. 유연성

3. 3. 저장소

4. 구현

일반적인 개인용 컴퓨터 환경에서 프로그램은 CPU, 네트워크 연결, 파일, 폴더, 네트워크 공유, 그리고 웹캠, 프린터와 같은 연결된 주변 장치 등 시스템의 모든 리소스를 인식할 수 있다. 물론, 운영체제는 프로그램이나 사용자 계정에 따라 이러한 리소스에 대한 접근을 허용하거나 거부할 수 있으며, 특정 리소스를 숨겨 프로그램이 인지하지 못하게 할 수도 있다.

운영체제 수준 가상화, 즉 컨테이너화는 이러한 방식과 달리, 프로그램이 할당된 특정 리소스만 접근하고 인식할 수 있는 격리된 환경인 '컨테이너' 내에서 실행되도록 한다. 프로그램은 컨테이너 내부에서 자신이 접근할 수 있는 리소스가 시스템의 전부인 것처럼 인식하고 동작한다. 하나의 운영체제 위에는 여러 개의 컨테이너를 생성할 수 있으며, 각 컨테이너에는 시스템 리소스의 일부가 할당된다. 각 컨테이너는 여러 프로그램을 포함할 수 있고, 이 프로그램들은 동시에 또는 개별적으로 실행되며 서로 상호작용할 수도 있다.

컨테이너화는 특정 프로그램 하나만을 격리된 환경에 배치하는 애플리케이션 가상화와 유사하지만, 애플리케이션 가상화는 주로 파일 시스템 수준의 격리에 초점을 맞춘다는 점에서 차이가 있다.

운영체제 수준 가상화는 주로 가상 호스팅 환경에서 유용하게 사용된다. 제한된 하드웨어 자원을 서로 신뢰하지 않는 여러 사용자에게 안전하게 할당해야 할 때 효과적이다. 또한, 시스템 관리자는 여러 서버에서 운영되던 서비스를 하나의 서버 내 컨테이너들로 통합하여 하드웨어 자원을 효율적으로 사용하는 데 활용할 수도 있다.

이 외에도 보안 강화, 하드웨어 독립성 확보, 추가적인 리소스 관리 기능 제공을 목적으로 여러 프로그램을 별도의 컨테이너로 분리하는 시나리오도 일반적이다.^[3] 다만, chroot와 같은 초기 기술을 사용한 보안 강화는 완벽하지 않다는 한계가 있다.^[4] 라이브 마이그레이션 기능을 지원하는 운영체제 수준 가상화 구현은 클러스터 내 노드 간의 동적인 부하 분산을 위해서도 사용될 수 있다.

다양한 운영체제 수준 가상화 기술들이 존재하며, 각 기술은 지원하는 운영체제, 라이선스, 제공하는 기능 등에서 차이를 보인다. 주요 구현 기술과 그 특징에 대한 상세한 비교는 하위 섹션에서 다룬다.

4. 1. 주요 구현 기술

• chroot: 1982년에 등장한 초기의 프로세스 격리 기술로, 대부분의 유닉스 계열 운영체제에서 사용할 수 있다. 주로 파일 시스템의 루트 디렉토리를 변경하여 특정 디렉토리 외부로 접근하지 못하게 하지만, 완전한 보안 격리 메커니즘으로 보기는 어렵다.^[50]
• 도커 (Docker): 2013년에 출시되어 리눅스, 윈도우, macOS 등 다양한 운영체제를 지원하며 아파치 라이선스 2.0으로 배포된다. 애플리케이션 배포 및 관리를 위한 컨테이너 기술로 널리 사용되며, 파일 시스템 분리, 쓰기 시 복사(Copy-on-write), 메모리 및 CPU 제한, 네트워크 분리 등 다양한 격리 및 자원 관리 기능을 제공한다.^{[51][52][53][54]}
• LXC (Linux Containers): 2008년에 개발된 리눅스 커널 기반의 컨테이너 기술로, GNU GPLv2 라이선스를 따른다. 시스템 전체를 가상화하는 대신, 단일 리눅스 커널 위에서 여러 개의 격리된 리눅스 시스템(컨테이너)을 실행할 수 있게 한다. 파일 시스템 분리, 자원 제한, 네트워크 분리, 중첩 가상화, 루트 권한 분리 등 포괄적인 기능을 지원한다.^[56]
• OpenVZ: 2005년에 출시된 리눅스 기반의 컨테이너 가상화 기술로, GNU GPLv2 라이선스를 따른다. Virtuozzo의 오픈 소스 버전이며, 높은 성능과 밀도를 제공한다. 파일 시스템 분리, 디스크 할당량, I/O 속도 제한, 메모리 및 CPU 제한, 네트워크 분리, 파티션 체크포인트 및 실시간 마이그레이션 기능을 지원한다.^{[60][61][62][63]}
• FreeBSD jail: 2000년에 FreeBSD에 도입된 컨테이너 기술로, BSD 라이선스를 따른다. 시스템 수준의 가상화를 제공하여 높은 수준의 격리와 보안을 제공한다. 파일 시스템 분리, 쓰기 시 복사(ZFS 사용 시), 디스크 할당량, I/O 속도 제한, 메모리 및 CPU 제한, 네트워크 분리, 중첩 가상화, 루트 권한 분리 등의 기능을 지원한다.^{[70][71][72][73][74][75]}
• Solaris 컨테이너 (Zones): 2004년 Solaris 10에 도입된 기술로, 존(Zone)이라고도 불린다. illumos(OpenSolaris) 및 Solaris 운영체제에서 사용되며, CDDL 또는 독자적 라이선스를 따른다. 파일 시스템 분리, 쓰기 시 복사(ZFS 사용 시), 디스크 할당량, 메모리 및 CPU 제한, 네트워크 분리 기능을 제공하며, 제한적인 중첩 가상화 및 마이그레이션 기능을 지원한다.^{[66][67][68][69]}

4. 2. 구현체 목록 (표)

참조

_[1] 웹사이트 Software containers: Used more frequently than most realize https://www.networkw[...] Network world, Inc. 2015-07-09
_[2] 웹사이트 Namespaces and Cgroups, the basis of Linux Containers http://www.netdevcon[...] 2016-08-18
_[3] 웹사이트 Secure Bottlerocket deployments on Amazon EKS with KubeArmor {{!}} Containers https://aws.amazon.c[...] 2023-06-20
_[4] 서적 Mastering FreeBSD and OpenBSD security https://books.google[...] O'Reilly Media, Inc.
_[5] 서적 Proceedings of the 10th Parallel Data Storage Workshop
_[6] 웹사이트 System administration guide: Oracle Solaris containers-resource management and Oracle Solaris zones, Chapter 16: Introduction to Solaris zones http://docs.oracle.c[...] Oracle Corporation 2014-09-02
_[7] 웹사이트 System administration guide: Oracle Solaris containers-resource nanagement and Oracle Solaris zones, Chapter 31: About branded zones and the Linux branded zone http://docs.oracle.c[...] Oracle Corporation 2014-09-02
_[8] 웹사이트 The dream is alive! Running Linux containers on an illumos kernel http://www.slideshar[...] 2014-10-10
_[9] 웹사이트 3.5. Limiting your program's environment http://www.freebsd.o[...]
_[10] 웹사이트 Docker drops LXC as default execution environment http://www.infoq.com[...]
_[11] 웹사이트 Install Docker desktop on Windows {{!}} Docker documentation https://docs.docker.[...] 2023-02-09
_[12] 웹사이트 Get started with Docker desktop for Mac https://docs.docker.[...] 2019-12-06
_[13] 웹사이트 Paper - Linux-VServer http://linux-vserver[...]
_[14] 웹사이트 LXC 1.0: Security features [6/10] https://www.stgraber[...] 2014-01-01
_[15] 웹사이트 Sylabs brings Singularity containers into commercial HPC | Top 500 supercomputer sites https://www.top500.o[...]
_[16] 웹사이트 SIF — Containing your containers https://www.sylabs.i[...] 2018-03-14
_[17] journal Singularity: Scientific containers for mobility of compute 2017-05-11
_[18] 웹사이트 Comparison on OpenVZ wiki page https://wiki.openvz.[...] OpenVZ 2018-12-28
_[19] 웹사이트 I/O priorities for containers http://wiki.openvz.o[...]
_[20] 웹사이트 Docker inside CT https://openvz.org/D[...]
_[21] 웹사이트 Container http://wiki.openvz.o[...]
_[22] 웹사이트 Initial public prerelease of Virtuozzo (named ASPcomplete at that time) http://www.paul.slad[...]
_[23] 웹사이트 Parallels Virtuozzo now provides native support for Docker http://www.odin.com/[...]
_[24] 웹사이트 Our ZFS I/O throttle http://dtrace.org/bl[...]
_[25] 문서 Network virtualization and resource control (Crossbow) FAQ http://www.opensolar[...]
_[26] 웹사이트 Managing network virtualization and network resources in Oracle® Solaris 11.2 https://docs.oracle.[...]
_[27] 문서 Oracle Solaris 11.1 administration, Oracle Solaris zones, Oracle Solaris 10 zones and resource management E29024.pdf, pp. 356–360. Available http://www.oracle.co[...]
_[28] 웹사이트 Contain your enthusiasm - Part two: Jails, zones, OpenVZ, and LXC http://www.cybera.ca[...]
_[29] 웹사이트 Hierarchical resource limits - FreeBSD Wiki http://wiki.freebsd.[...] Wiki.freebsd.org 2014-01-15
_[30] 웹사이트 Implementing a clonable network stack in the FreeBSD kernel http://static.usenix[...] usenix.org 2003-06-13
_[31] 웹사이트 VPS for FreeBSD http://www.7he.at/fr[...] 2016-02-20
_[32] 웹사이트 "[Announcement] VPS // OS virtualization // alpha release" http://www.freebsd.o[...] 2016-02-20
_[33] 웹사이트 3.5. Limiting your program's environment http://www.freebsd.o[...] Freebsd.org 2014-01-15
_[34] 웹사이트 sys/vkernel.h http://bxr.su/d/sys/[...] DragonFly BSD
_[35] 웹사이트 vkd(4) — Virtual kernel disc http://mdoc.su/d/vkd[...] DragonFly BSD
_[36] 웹사이트 vkernel, vcd, vkd, vke — virtual kernel architecture http://bxr.su/d/shar[...] DragonFly BSD 2007-01-08
_[37] 웹사이트 vkernel, vcd, vkd, vke - virtual kernel architecture http://mdoc.su/d/vke[...] DragonFly BSD
_[38] 웹사이트 IBM fix pack information for: WPAR network isolation - United States http://www-01.ibm.co[...] 2011-07-21
_[39] 웹사이트 Live application mobility in AIX 6.1 http://www.ibm.com/d[...] 2008-06-03
_[40] 웹사이트 systemd-nspawn https://www.freedesk[...]
_[41] 웹사이트 2.3. Modifying control groups Red Hat Enterprise Linux 7 https://access.redha[...]
_[42] 웹사이트 CoreOS is building a container runtime, rkt https://coreos.com/b[...] 2019-03-12
_[43] 웹사이트 LXD https://linuxcontain[...] 2021-02-11
_[44] 문서 Rootless containers with Podman and fuse-overlayfs https://indico.cern.[...] CERN workshop 2019-06-04
_[45] 웹사이트 Overview — Charliecloud 0.25 documentation https://hpc.github.i[...] 2020-10-04
_[46] 웹사이트 Home https://katacontaine[...]
_[47] 웹사이트 Bottlerocket is a Linux-based operating system purpose-built to run containers https://aws.amazon.c[...]
_[48] 뉴스 Software Containers: Used More Frequently than Most Realize http://www.networkwo[...] Network World, Inc 2015-07-09
_[49] 뉴스 Namespaces and Cgroups, the basis of Linux Containers http://www.netdevcon[...] 2016-08-18
_[50] 문서 3.5. Limiting your program's environment http://www.freebsd.o[...] freebsd.org
_[51] 뉴스 Docker drops LXC as default execution environment http://www.infoq.com[...]
_[52] 뉴스 Docker comes to FreeBSD https://www.freebsdn[...] 2015-07-09
_[53] 뉴스 Get started with Docker for Windows https://docs.docker.[...] 2021-09-10
_[54] 뉴스 Get started with Docker Desktop for Mac https://docs.docker.[...] 2019-12-06
_[55] 뉴스 Paper - Linux-VServer http://linux-vserver[...]
_[56] 뉴스 LXC 1.0: Security features [6/10] https://www.stgraber[...] 2014-01-01
_[57] 문서 Sylabs Brings Singularity Containers into Commercial HPC https://www.top500.o[...] www.top500.org
_[58] 뉴스 Redirecting… https://www.sylabs.i[...] 2018-03-14
_[59] 논문 Singularity: Scientific containers for mobility of compute 2017-05-11
_[60] 뉴스 Comparison on OpenVZ wiki page https://wiki.openvz.[...] OpenVZ 2018-12-28
_[61] 뉴스 I/O priorities for containers http://wiki.openvz.o[...]
_[62] 뉴스 Docker inside CT https://openvz.org/D[...]
_[63] 뉴스 Container http://wiki.openvz.o[...]
_[64] 뉴스 Initial public prerelease of Virtuozzo (named ASPcomplete at that time) http://www.paul.slad[...]
_[65] 뉴스 Parallels Virtuozzo Now Provides Native Support for Docker http://www.odin.com/[...]
_[66] 뉴스 Our ZFS I/O Throttle http://dtrace.org/bl[...]
_[67] 문서 Network Virtualization and Resource Control (Crossbow) FAQ http://www.opensolar[...]
_[68] 뉴스 Managing Network Virtualization and Network Resources in Oracle® Solaris 11.2 https://docs.oracle.[...]
_[69] 문서 Oracle Solaris 11.1 Administration, Oracle Solaris Zones, Oracle Solaris 10 Zones and Resource Management E29024.pdf, pp. 356–360 http://www.oracle.co[...]
_[70] 뉴스 Contain your enthusiasm - Part Two: Jails, Zones, OpenVZ, and LXC http://www.cybera.ca[...]
_[71] 뉴스 Hierarchical_Resource_Limits - FreeBSD Wiki http://wiki.freebsd.[...] Wiki.freebsd.org 2014-01-15
_[72] 뉴스 Implementing a Clonable Network Stack in the FreeBSD Kernel http://static.usenix[...] usenix.org 2003-06-13
_[73] 뉴스 VPS for FreeBSD http://www.7he.at/fr[...] 2016-02-20
_[74] 뉴스 "[Announcement] VPS // OS Virtualization // alpha release" https://forums.freeb[...] 2016-02-20
_[75] 뉴스 3.5. Limiting your program's environment http://www.freebsd.o[...] Freebsd.org 2014-01-15
_[76] 뉴스 sys/vkernel.h http://bxr.su/d/sys/[...] DragonFly BSD 2006
_[77] 뉴스 vkd(4) — Virtual Kernel Disc http://mdoc.su/d/vkd[...] DragonFly BSD
_[78] 뉴스 vkernel, vcd, vkd, vke — virtual kernel architecture http://bxr.su/d/shar[...] DragonFly BSD 2007-01-08
_[79] 뉴스 vke(4) — Virtual Kernel Ethernet http://mdoc.su/d/vke[...] DragonFly BSD
_[80] 뉴스 IBM Fix pack information for: WPAR Network Isolation - United States http://www-01.ibm.co[...] 2011-07-21
_[81] 뉴스 Live Application Mobility in AIX 6.1 http://www.ibm.com/d[...] 2008-06-03
_[82] 뉴스 systemd-nspawn https://www.freedesk[...]
_[83] 뉴스 2.3. Modifying Control Groups Red Hat Enterprise Linux 7 https://access.redha[...]
_[84] 뉴스 CoreOS is building a container runtime, rkt https://coreos.com/b[...] 2019-03-12
_[85] 뉴스 LXD https://linuxcontain[...] 2021-02-11
_[86] 뉴스 Rootless containers with Podman and fuse-overlayfs https://indico.cern.[...] CERN Workshop 2019-06-04
_[87] 뉴스 Overview — Charliecloud 0.25 documentation https://hpc.github.i[...] 2020-10-04
_[88] 문서 Home https://katacontaine[...]
_[89] 문서 Bottlerocket is a Linux-based operating system purpose-built to run containers https://aws.amazon.c[...]
_[90] 웹인용 Software Containers: Used More Frequently than Most Realize http://www.networkwo[...] Network World, Inc 2015-07-09
_[91] 웹인용 How to break out of a chroot() jail http://www.bpfh.net/[...] 2013-05-07