有能使用 qemu 作 backend 运行 docker 镜像的程序吗

[edis0n0]

听说容器的隔离不强，想让每个容器都跑在一个独立的 QEMU VM 中，这样就有一大堆现成的镜像能用还不用自己装系统，有办法让 docker 使用 QEMU 做 backend 吗？不知道怎么描述，大概是这个意思

我知道 docker 镜像不带 linux kernel ，所以这些 vm 可以复制 host 的 kernel

[geekvcn]

大厂已经有成熟的虚拟化容器方案了，一般叫安全容器，另外还有基于硬件安全特性的方案一般叫机密容器，你可以看看相关技术博客和文档。如果自己开发建议用 kvmtool 而不是 qemu-kvm ，前者更轻量也更符合容器应用场景。qemu 一般用在需要完整模拟底层硬件环境的场景，太重了。

[Jirajine]

没必要用 qemu ，你需要的是其他基于 kvm 的平替，如 https://firecracker-microvm.github.io/

[edis0n0]

@geekvcn #1 有没有现成的开源方案可以用？

[yin1999]

以前看到的，不过我没用过 https://gvisor.dev/

[ysc3839]

VMware 可以用 vctl 直接在虚拟机里跑 Docker 镜像
https://docs.vmware.com/en/VMware-Workstation-Pro/16.0/com.vmware.ws.using.doc/GUID-78E7339F-7294-4F3E-9AD0-1E14C201FA40.html

[xyjincan]

VMware 在发展这个技术呢

[lrh3321]

差不多就是安全容器了,可以看看 kata-container ，可以自己定制虚拟机系统镜像的

[icyalala]

用 mac 版的 docker 就是你想要的咯

[geekvcn]

@edis0n0 想直接用不想自己开发，建议直接用 clear linux ，内置容器就是基于魔改的 kvmtool 加了内存扩展之类的，可以让容器共享内存。

[xtinput]

macOS 下的 docker 就是独立的内核，超级占用磁盘空间

[ALXG]

你的意思是不要进程隔离?

[lhx2008]

安全容器跑的还是容器镜像，跟原生 docker 用法没区别，楼主要在『容器』里面装系统，K8S 上面有 kubevirt ，用的就是 qemu ，不过这个显然是个开倒车的行为

[carmark]

kata 试试

[edis0n0]

@lhx2008 #12 你看错了，我是**不想**自己在容器里装系统。

[dayeye2006199]

lxd 是可以支持容器和虚拟机，使用上没有特别大的区别，虚拟机少一点功能

https://linuxcontainers.org/lxd/docs/master/explanation/instances/

[dnsjia]

kata-container