Machines virtuelles, containers et cloud

1. Définition

La virtualisation est une technique permettant de faire fonctionner simultanément, séparément et isolément plusieurs systèmes d’exploitation ou applications sur une même machine physique, chacun croyant fonctionner sur sa propre machine.

La distinction entre système d’exploitation et application est importante : la machine virtuelle n’est pas le seul mécanisme de virtualisation. Une application peut également être virtualisée à l’aide de mécanismes d’isolation.

Un serveur est rarement exploité au maximum de ses capacités, bien souvent uniquement sur de courtes périodes et pour des tâches ponctuelles. Le reste du temps sa charge est réduite le rendant disponible pour d’autres tâches sans pénaliser les applications en cours de fonctionnement.

De nombreux critères interviennent dans la décision de virtualiser ou non. Le principal reste la réalisation d’économies. Économie financière tout d’abord, puisque le coût d’acquisition sera moindre ainsi que le coût de maintenance matérielle. Économie de ressources ensuite par une bonne répartition des machines virtuelles sur les serveurs afin d’optimiser l’ensemble des performances. Économie d’administration car il est plus simple d’installer, déployer et migrer des machines virtuelles, il est notamment possible via divers outils de transformer une machine physique en machine virtuelle et vice-versa, et l’environnement matériel virtuel est généralement identique pour chaque machine virtuelle.

2. Le cloud

Le Cloud permet de louer des services d’infrastructure via Internet : serveurs virtuels, réseaux, stockages etc. sous forme d’offre IaaS (Infrastructure as a Service) par exemple. Un serveur sur le Cloud n’est en fait qu’une machine virtuelle...

1. L’isolation

L’isolation consiste à exécuter des applications dans des environnements isolés des autres, appelés contextes ou zones d’isolation. Plusieurs instances d’une même application peuvent être démarrées simultanément,  chacune dans son contexte même si elle n’a pas été conçue pour. L’application ne fonctionne pas dans une véritable machine virtuelle, mais se trouve simplement isolée des autres grâce à une fonctionnalité du système d’exploitation. L’isolateur le plus connu sur Unix est chroot, qui permet de changer de racine.

Principe des isolateurs

Le principe de chroot est simple. Un répertoire Unix contient tout le nécessaire à l’exécution d’un programme, par exemple un serveur web ou ftp. Le nécessaire comprend aussi bien l’application et ses fichiers de configuration que les bibliothèques et les commandes qu’elle utilise. Une fois tout en place, la commande chroot est appliquée à ce répertoire qui devient la nouvelle racine. Les processus du serveur n’ont accès qu’aux données contenues dans cette nouvelle racine et ne peuvent en sortir. 

Le noyau Linux dispose de mécanismes d’isolation intégrés appelés les namespaces ou "espaces de nommage" qui définissent ce que les processus peuvent voir. Le principe de base est presque le même...

1. Principe

Lorsqu’on est en présence d’un hyperviseur de type 1 ou 2, le système hôte peut proposer une interface logicielle optimisée et similaire à du matériel réel. C’est ce qu’on appelle de la paravirtualisation. L’interface logicielle API permet au système invité de la machine virtuelle un accès quasi-direct à un ou plusieurs composants matériels. 

Paravirtualisation : le système accède à l’hôte via des API

Cette possibilité peut être offerte par le noyau du système hôte, par l’architecture matérielle (par exemple le microprocesseur), ou par les deux.

Dans le cas de l’accès au matériel par les systèmes invités, les pilotes qui seront installés établissent une communication directe avec l’API du système hôte.

Sous Linux les produits XEN et KVM utilisent si elles sont disponibles des techniques de paravirtualisation.

2. Virtio

Virtio, Virtual Input Output, est l’interface de programmation (API) du noyau Linux dédiée aux pilotes de périphériques des machines virtuelles (ou plutôt des systèmes invités).

Une communication de type FIFO est établie entre l’hyperviseur (le noyau du système hôte) et le noyau du système invité. Les pilotes se basent sur cette interface. 

Virtio est l’API par défaut de KVM, et Linux propose les pilotes réseau et disques associés. Des pilotes sont aussi disponibles pour Windows. VMWare et Virtualbox disposent d’un support VirtIO.

3. Assistance matérielle

1. Principe

L’isolation d’un ou plusieurs processus est assurée par le noyau Linux à l’aide des deux mécanismes que sont les espaces de nommage et les groupes de contrôle. Les espaces de nommage sont apparus en 2002 et les groupes de contrôle en 2007. L’arrivée des espaces de noms utilisateurs dans le noyau 3.8, en février 2013, a ouvert la voie au support complet des containers.

Tout noyau Linux intègre ces fonctions par défaut :

Les namespaces, ou espaces de nommages, permettent :

Les cgroups, ou groupes de contrôle, sont les ressources du système qu’un groupe de processus peut utiliser, afin de :

L’association de ces deux mécanismes est la base du principe du container.

2. Container et Machine virtuelle

Les containers sont souvent comparés à des machines virtuelles, et s’il s’agit de deux types de technologies de virtualisation, le concept est différent.

Les machines virtuelles fonctionnent sur des hyperviseurs. Que le matériel utilisé soit émulé ou non, les machines virtuelles exécutent un système d’exploitation complet, avec noyau et pilotes de périphériques (même si ceux-ci utilisent de la paravirtualisation). Puis, les applications s’installent sur le système d’exploitation de la machine virtuelle. Du point de vue de l’hyperviseur, la machine virtuelle est un processus unique.

Les conteneurs fonctionnent directement sur l’hôte...

1. Principe

Le Cloud, ou Cloud Computing, ou informatique en nuage, c’est l’utilisation des moyens informatiques, généralement des serveurs, distants au travers d’un réseau. Dans le cadre d’un Cloud public, ce réseau est Internet. Le mot Cloud, ou nuage, indique que l’utilisateur ne sait pas, ou n’a pas besoin de connaître l’emplacement des serveurs.

Le cloud peut aussi être privé. Dans ce cas, l’infrastructure associée reste gérée par une entreprise pour son propre compte, mais propose à l’ensemble de ses services ou entités des moyens identiques à ceux d’un cloud public : serveurs, réseaux, exposition, etc.

Ce qui distingue une offre cloud d’un service classique :

Un mot important est l’élasticité. On dit que le Cloud est élastique, dans le sens où il est capable de s’adapter aux besoins le plus rapidement possible en étendant ou réduisant à la demande ses services. On peut aussi parler de plasticité et de scalabilité.

Il ne faut cependant pas oublier que, derrière le cloud, il y a de vrais serveurs, dans de vrais centres de données, avec de vraies personnes pour gérer...

1. Hyperviseur et additions

Par système invité, on entend le système d’exploitation déployé sur une machine virtuelle. Selon l’OS installé sur l’hôte physique, plusieurs logiciels de virtualisation sont disponibles. Rien que sous Linux, vous trouverez :

On y pense rarement, mais Qemu et KVM disposent bien entendu de commandes accessibles via le shell, mais aussi, grâce à libvirt, d’une interface graphique très performante, permettant même de gérer des machines virtuelles d’autres hyperviseurs (comme Virtualbox, Xen, VMware…).

L’auteur, par exemple, utilise de nombreuses machines virtuelles (jusqu’à huit), sous Virtualbox ou KVM, depuis macOS ou une machine virtuelle Linux. Cela mène parfois à des situations cocasses où Virtualbox fait tourner une machine virtuelle qui exploite elle-même KVM qui fait fonctionner un système invité…

Le virtualiseur KVM au sein d’une Fedora dans un système Virtualbox Fedora dans un Mac OS X

Pour obtenir un fonctionnement optimal des systèmes d’exploitation invités, quelques éléments sont à prendre en compte :