技术界中的虚拟机、容器和沙箱的关系

通俗易懂的解释下什么是沙箱。沙箱本身就是一种线下生活现象的虚拟化。现实世界里，小孩子们在沙地、沙滩上用木板隔离出一个方盒子，在盒子里堆砌、创造各种东西 - 城堡、房屋、山丘... 这就是一个沙箱。

它有两个根本特点：

1、它有边界，通过木板设定了游戏创造的范围只在围墙内；

2、它的游戏材料是沙，任何的创造，一抹就平，瞬间无影无踪不留痕迹。

这两个特点，在计算机世界被模拟了。在一台设备（不管是一台服务器还是一个手机，我们称之为“宿主”）中，通过软硬件手段的结合，可以模拟出一个“管控”区域，它的里面是预先指定、划分出来的运算与存储资源，与宿主的其他资源完全隔离。应用代码可以被丢到这个区域里运行，即使它是病毒、木马、DDoS攻击软件，它也只能在这么一个资源受限的模拟世界折腾，它就像在Matrix里的人，看不到宿主里其他的平行世界，甚至不知道宿主的存在，无法滥用宿主资源从而毁灭宿主（和其他平行世界）。此外，任何这样的区域，既然是模拟的，不管里面跑着什么，都可以被“一键删除”，一切归零。

虚拟机、容器和沙箱是什么关系？

虚拟机和容器技术都可以看作是沙箱的不同表现。

虚拟机和容器。前者是对硬件的虚拟化，后者则更像是操作系统的虚拟化。两者都提供了沙箱的能力：虚拟机通过硬件级抽象提供，而容器则使用公共内核提供进程级的隔离。

具体来说：

容器是一种对应用进行打包、分享和部署的现代化方式。与把所有功能打包为单一软件的单体应用，容器化应用或微服务的设计目标是专注于单一任务。容器中包含要完成这一任务所需的所有依赖项目（包、库和一些二进制文件）。正因如此，容器化应用是平台无关的，能够在任何操作系统上运行，并不在意其版本或者已部署软件。这给开发人员带来了极大的方便！

当容器在主机上完成部署之后，每个容器的资源，例如文件系统、进程和网络栈都会被安置在一个虚拟的隔离环境之中，其它容器无法访问这一隔离环境。这个技术能够在一个集群内同时运行几百或几千个容器，容器化应用能够轻松的通过复制容器实例的方式进行伸缩。

容器运行时为每个容器模拟一个操作系统，虚拟机（VMM）则为每个虚拟机模拟一个硬件环境，容器共享主机操作系统的内核以及物理硬件，虚拟机共享主机的物理硬件。因为容器从主机上共享的资源更多，它们对存储、内存以及 CPU 的利用比虚拟机更加有效。然而共享越多，其代价就是容器之间、容器和主机之间的信任边界就越模糊。虚拟机和容器的架构差异如下：

相对于命名空间隔离技术而言，虚拟化硬件隔离通常会有更好的安全边界。容器（进程）中逃出的攻击者，往往比虚拟机中逃出的攻击者具有更大的威胁。命名空间和 cgroup 的弱隔离是造成这种风险的原因。

这些安全性方面的担忧，促使开发人员不断为容器构建更强的信任边界。具体的解决方式就是创建一个真正的沙箱容器。以近期了解的前端安全沙箱技术 FinClip为例，这是一种嵌入式安全沙箱，又被称之为小程序容器，它的本质其实是建立在Security Capability model基础上的浏览器内核的扩展，其沙箱的特点，体现在三个方面：

1、沙箱内小程序之间的隔离。

2、沙箱对运行其中的小程序代码，隔离其对宿主环境的资源访问。

3、沙箱隔离了宿主对于沙箱中运行的小程序所产生的数据。

具体来说，FinClip 为业务代码提供一个封闭的安全沙箱，有效对抗外部代码的干扰和数据泄露风险；第三方App只能通过SDK暴露的接口启动SDK，SDK完全管控对业务代码所需要的运行环境以及业务代码所有对外通信，可以通过多种机制保证网络通信不被拦截和干扰；SDK 内部使用独立的浏览器内核，运行环境与系统浏览器完全隔离 (在 Android 上)。

这种安全沙箱中运行的主要是轻应用、小程序，在应用范式上兼容互联网主流的小程序规范，应用落地的门槛很低，能迅速投入应用。对于对接大量外部应用的企业来说，这个设计是非常巧妙的。换句话说，不管小程序的“供应商”是谁，它们的代码都被隔离、同时也被保护在沙箱环境中。

技术界中的虚拟机、容器和沙箱的关系相关推荐

虚拟机、容器和沙箱是什么关系？
首先,什么是沙箱? 它本身就是一种线下生活现象的虚拟化.现实世界里,小孩子们在沙地.沙滩上用木板隔离出一个方盒子,在盒子里堆砌.创造各种东西 - 城堡.房屋.山丘... 这就是一个沙箱. 它有两个根本 ...
分析虚拟机、容器和沙箱之间的神秘关系
首先,什么是沙箱? 它本身就是一种线下生活现象的虚拟化.现实世界里,小孩子们在沙地.沙滩上用木板隔离出一个方盒子,在盒子里堆砌.创造各种东西 - 城堡.房屋.山丘- 这就是一个沙箱. 它有两个根本特点 ...
【Azure】微软 Azure 基础解析（六）计算服务中的虚拟机 VM、虚拟机规模集、Azure Functions 与 Azure 容器（ACI）
本系列博文还在更新中,收录在专栏:「Azure探秘:构建云计算世界」专栏中. 本系列文章列表如下: [Azure]微软 Azure 基础解析(三)描述云计算运营中的 CapEx 与 OpEx,如何区 ...
Docker虚拟化容器技术（用在虚拟机上），VirtualBox中linux虚拟机联网的问题
Docker虚拟化容器技术(用在虚拟机上),VirtualBox中linux虚拟机联网的问题文章目录前言:安装Docker,则先安装Linux虚拟机(我的CSDN中有发) 一.要解决在Virtua ...
镜像和linux关系,Docker中容器和镜像的关系【通俗易懂】
docker中容器和镜像的关系是什么? 最近学习了docker,大多人感觉容器和镜像学的有点模糊. 特别是镜像和容器,感觉完全分不开,所以在此学习,然后总结了一下,便于后面的学习. 这是我总结的镜像总 ...
在vSphere Client中启动虚拟机创建进程以及VMwareTools安装
你可使用创建新的虚拟机向导创建要置于 vSphere 清单中的虚拟机.可以从 vSphere Client 打开该向导.在"即将完成"页面上单击完成后,你在新建虚拟机向导中进行的选 ...
虚拟机容器嵌合体—— Kata Containers正式走出实验室
将虚拟机的安全优势与基于软件的容器的部署和管理优势相结合在一起的开源的Kata Containers项目,在周二达到了1.0的里程碑. 由于去年12月宣布的英特尔Clear Containers和Hy ...
中移在线容器平台入选云原生应用十大优秀案例，成为全球最大客服云案例
近日,中国通信标准化协会云计算标准和开源推进委员会(已下简称信通院)主办<OSCAR 开源先锋日--云原生专场>,由云原生开源产业联盟.CNCF基金会联合选出的2020年度云原生应用十大优 ...
Linux安装Docker容器环境centos中安装docker-compose容器编排dockerfile文件构建镜像（史上最详细的docker）
在Linux系统下安装docker容器环境 1.容器介绍 1.1 镜像(Image) 镜像可以用来创建Docker 容器,Docker 提供了一个很简单的机制来创建镜像或者更新现有的镜像, 用户甚至可 ...
在Docker中创建CentOS容器
在Docker中创建CentOS容器前提镜像准备运行并保存容器再次运行容器前提前提是机器上安装了docker,并运行了docker服务.本人为图方便(没钱买服务器,懒得装虚拟机),使用的操 ...

技术界中的虚拟机、容器和沙箱的关系

虚拟机、容器和沙箱是什么关系？

技术界中的虚拟机、容器和沙箱的关系相关推荐

最新文章

热门文章