一个快速且内存占用小的OCI容器运行时,完全用C语言编写。
crun符合OCI容器运行时规范(https://github.com/opencontainers/runtime-spec)。
文档
用户文档可在此处获取。
为什么要另一种实现?
虽然Linux容器生态系统中使用的大多数工具都是用Go编写的,但我认为C语言更适合容器运行时这样的底层工具。runc是用Go编写的OCI运行时规范的最常用实现,它会重新执行自身并使用用C编写的模块来在容器进程启动前设置环境。
crun的目标是也能作为一个库使用,可以轻松地包含在程序中,而不需要外部进程来管理OCI容器。
性能
crun比runc更快,并且内存占用更少。
这是在我的机器上按顺序运行100个容器的耗时,容器运行/bin/true
:
crun | runc | % | |
---|---|---|---|
100 /bin/true | 0:01.69 | 0:3.34 | -49.4% |
crun需要的资源更少,因此也可以对容器允许的内存设置更严格的限制:
# podman --runtime /usr/bin/runc run --rm --memory 4M fedora echo it works
Error: container_linux.go:346: starting container process caused "process_linux.go:327: getting pipe fds for pid 13859 caused \"readlink /proc/13859/fd/0: no such file or directory\"": OCI runtime command not found error
# podman --runtime /usr/bin/crun run --rm --memory 512k fedora echo it works
it works
依赖
构建需要以下依赖:
Fedora
$ sudo dnf install -y make python git gcc automake autoconf libcap-devel \
systemd-devel yajl-devel libseccomp-devel pkg-config \
go-md2man glibc-static python3-libmount libtool
RHEL/CentOS 8
$ sudo yum --enablerepo='*' --disablerepo='media-*' install -y make automake \
autoconf gettext \
libtool gcc libcap-devel systemd-devel yajl-devel \
glibc-static libseccomp-devel python36 git
go-md2man在RHEL/CentOS 8上不可用,因此如果你想构建man页面,还需要手动安装go-md2man。可以通过以下方式安装:
$ sudo yum --enablerepo='*' install -y golang
$ export GOPATH=$HOME/go
$ go get github.com/cpuguy83/go-md2man
$ export PATH=$PATH:$GOPATH/bin
Ubuntu
$ sudo apt-get install -y make git gcc build-essential pkgconf libtool \
libsystemd-dev libprotobuf-c-dev libcap-dev libseccomp-dev libyajl-dev \
go-md2man autoconf python3 automake
Alpine
# apk add gcc automake autoconf libtool gettext pkgconf git make musl-dev \
python3 libcap-dev libseccomp-dev yajl-dev argp-standalone go-md2man
Tumbleweed
# zypper install make automake autoconf gettext libtool gcc libcap-devel \
systemd-devel libyajl-devel libseccomp-devel python3 go-md2man \
glibc-static;
注意,Tumbleweed需要你在编译器标志中指定libseccomp的头文件位置。
# ./autogen.sh
# ./configure CFLAGS='-I/usr/include/libseccomp'
# make
构建
除非你也在构建Python绑定,否则Python只在构建时被libocispec用来生成C解析器,之后就不会使用。
一旦所有依赖都安装好:
$ ./autogen.sh
$ ./configure
$ make
要安装到默认PREFIX(/usr/local
):
$ sudo make install
共享库
之前的构建说明没有启用共享库,因此你将无法使用libcrun。如果你希望构建共享库,可以将之前的./configure
语句改为./configure --enable-shared
。
静态构建
通过使用官方提供的nix包和本仓库中的派生,可以构建crun的静态链接二进制文件。这些构建是完全可重现的,将创建一个适用于glibc的x86_64/amd64剥离ELF二进制文件。
Nix
要通过本地安装nix包管理器来构建二进制文件:
$ curl -L https://nixos.org/nix/install | sh
$ git clone --recursive https://github.com/containers/crun.git && cd crun
$ nix build -f nix/
$ ./result/bin/crun --version
Ansible
还有一个Ansible角色可用于自动安装上述静态链接的二进制文件到其支持的操作系统:
$ sudo su -
# mkdir -p ~/.ansible/roles
# cd ~/.ansible/roles
# git clone https://github.com/alvistack/ansible-role-crun.git crun
# cd ~/.ansible/roles/crun
# pip3 install --upgrade --ignore-installed --requirement requirements.txt
# molecule converge
# molecule verify
Lua绑定
提供了Lua绑定。更多信息请参见README。