KVM vs LXCコンテナ
KVM対LXC：分離と密度
短い回答
LXCコンテナはホストカーネルを共有し、ほぼオーバーヘッドなしでミリ秒単位で起動します。KVM仮想マシンは独自のカーネルを起動し、2〜5%のオーバーヘッドと真のセキュリティ境界を持ちます。マルチテナントホスティングではこの違いが決定的です。LXCホストのカーネル脆弱性は、その上のすべてのテナントに影響する脆弱性です。
| 項目 | KVM | LXCコンテナ |
|---|---|---|
| 分離境界 | ハードウェアで強制 | カーネルネームスペース |
| 起動時間 | 5〜15秒 | 1秒未満 |
| 开销 | 2–5% | 1%未満 |
| 密度 | 低い | はるかに高い |
| カーネルの選択 | 自分で行う | ホストのもの |
| マルチテナントの安全性 | 強い | ホストカーネルに完全に依存 |
どちらを選ぶべきか
KVM
テナントが互いに信頼しない場合は常にKVMを選びましょう。これには商業ホスティングのすべてのシナリオが含まれます。
LXCコンテナ
LXCは自身の信頼境界内では優れています。例えば、すでに所有しているKVMインスタンス上のコンテナとして利用する場合です。
よくある質問
LXCはKVMより安全ではありませんか？
分離境界は構造上弱い。LXCのカーネルエスケープはホスト上のすべてのコンテナに到達する。KVMで同等のことを行うにはハイパーバイザーエスケープが必要であり、これはかなり困難なバグのクラスである。
KVM VPS内でLXCを実行できますか？
はい、それは良いパターンです。他の顧客からのハードウェア分離、自分のサービス用の安価なコンテナ分離です。