专访OneAPM创始人何晓阳：OneAPM，迅猛融资后的生态化野心 / 憋错料

在多租户环境下我们需要做什么？首先需要可以和Docker用的一样的images，开发测试和部署具有一致性，部署和管理具有原子性，可以运行在虚拟里面进行用户隔离，但是开销不要太大，这个思路本身借鉴了Google的novm的项目。

我们把我们的产品称为DVM，简单地说，是KVM加上Docker Images。具体说，首先是基于KVM和qemu来提供天然隔离性，精心剪裁，保证性能和开销上不会太大。然后，我们提供了原生的同时运行多个相关应用的支持（POD），提供了rest接口，方便进行orchestartion。

如图1-1所示

DVM的总体架构和Docker非常类似，有一个Daemon来做管理，每一个DVM虚机大概是这样的——Deamon会为每个POD启动一个VM，里面有一个裁剪过的内核，其上的initrd会把所有的docker images装载进去，启动到各自的Mount Namespace。而所有的这一套东西叫它DVM。dvm可以从第三方通过API，或者通过command line去管理，这会让docker用户感到比较熟悉。

POD的概念是直接源于Google的Kubernetes。对于Google来说他们可能不会单独运行一个Container，而是会运行一组相关的Container，可能其中有些用于跑服务，有些用于跑代理等辅助功能，有些是做一般性的日志服务等支持性服务，紧耦合在一起工作的方式。POD中的Container Image彼此独立，这样在开发、维护中可以更方便，在运行的时候，他们彼此间的文件系统是隔离的，但是同时POD内的image会分享network、pid等namespace，这样就做一些管理和操作。POD概念部分意义上和Docker的compose有些类似，只是compose没有那么直接和纯粹。在DVM中，我们将Container换成了VM，构成了POD的天然边界，在VM内部的应用间，不同Image跑出来的应用属于不同的
mount namespace，在文件系统方面彼此隔离，但共享pid 和 network namespace，这样保证他们之间既有隔离，又不失灵活方便。

DVM的基本使用流程和Docker非常接近，可以直接使用几乎所有的Docker Images，可以直接将Pod任务提交给DVM Deamon，或者是直接run一个docker images，daemon就会运行一个kvm虚拟机，并通过initrd将pod中所指定的docker image 运行在虚拟机中。

DVM的开销分为几个方面，包含是性能开销、启动时间开销、还有内存开销等。首先对于CPU内存子系统的性能开销，大家知道现代的虚拟化系统，对不同的应用开销不太一样，但是对于大部分场景控制在10%以内是可以做到的。而对于IO来说，对于大规模的应用，调度系统会把Pod调度到不同的机器上面去运行，在这个时候为了应用能够在遇到故障的时候重新恢复，会倾向于使用共享存储作为持久化存储存储方案，不论是否有有虚拟机，网络开销都是更主要的。对于EBS这样的网络存储，相对于本机存储来说时延更高，在应用IO并行不充分的情况下，对任何用户都会有一些开销的，这些开销的主要部分并不是虚拟机带来的。

启动时间开销：因为VM引导时间是在一秒之内，VM启动之后大概在KVM支持情况下，可能比较简单的机器就能做到400到500毫秒的时间。既使是在测试环境中DVM，用的时间也只是800毫秒时间。所以对于一秒钟要启动几次应用，这个开销是有影响的。对于一些要跑一个小时再关掉，dvm的方式就是完全可行的了。同时，我们使用了用热插拔的技术作为一个优化，先启动虚拟机再把POD用到的那些images插进去、启动起来，这样，对于没有特殊kernel和配置要求的情况，可以预先启动好虚拟机，只要准备好image就可以插进去运行，达到毫秒级响应，这就和使用Docker没有什么区别了，一样是创建images和Container的消耗。

至于内存开销，作为KVM是qemu开销和内核开销，内核开销可以降低到十几兆程度。把那些给各种硬件进行支持的部分都被省掉了。但是尽管如此，作为Container来说还是会比DVM开销要小，它有很多内存可以分享，而且要想超卖内存的话，容器肯定是比虚机超卖内存方便的多。但是如果真的云服务商，不管目标是要打败亚马逊，去提供对于用户很棒的公有云服务，还是说只是要去做私有云，对于内存超卖的问题，都需要非常慎重。

对于dvm带来的额外的限制，和Docker相比，有些和Host共享的东西都是在DVM这里是做不到的，DVM强调的是用虚机来做到更好的隔离，所以破坏隔离性的特性都做不到。然后关联性的限制，容器关联，dvm POD内部的Container之间是很容易关联的，其自由度非常搞，共享pid 和network namespace，可以通过localhost 互相访问，但是dvm保证了两个POD之间的隔离和安全，一个Pod入侵不了其他的Pod，反过来想打破这个隔离来进行跨Pod的关联也很难不到，无法在Pod间共享任何namespace。

专访OneAPM创始人何晓阳：OneAPM，迅猛融资后的生态化野心

专访OneAPM创始人何晓阳：OneAPM，迅猛融资后的生态化野心的相关文章