firecracker README

The project's README from github.com/firecracker-microvm/firecracker. As one markdown file: README.md.

Firecracker Logo Title

Our mission is to enable secure, multi-tenant, minimal-overhead execution of container and function workloads.

Read more about the Firecracker Charter here.

What is Firecracker?

Firecracker is an open source virtualization technology that is purpose-built for creating and managing secure, multi-tenant container and function-based services that provide serverless operational models. Firecracker runs workloads in lightweight virtual machines, called microVMs, which combine the security and isolation properties provided by hardware virtualization technology with the speed and flexibility of containers.

Overview

The main component of Firecracker is a virtual machine monitor (VMM) that uses the Linux Kernel Virtual Machine (KVM) to create and run microVMs. Firecracker has a minimalist design. It excludes unnecessary devices and guest-facing functionality to reduce the memory footprint and attack surface area of each microVM. This improves security, decreases the startup time, and increases hardware utilization. Firecracker has also been integrated in container runtimes, for example Kata Containers and Flintlock.

Firecracker was developed at Amazon Web Services to accelerate the speed and efficiency of services like AWS Lambda and AWS Fargate. Firecracker is open sourced under Apache version 2.0.

To read more about Firecracker, check out firecracker-microvm.io.

Getting Started

To get started with Firecracker, download the latest release binaries or build it from source.

You can build Firecracker on any Unix/Linux system that has Docker running (we use a development container) and bash installed, as follows:

git clone https://github.com/firecracker-microvm/firecracker
cd firecracker
tools/devtool build
toolchain="$(uname -m)-unknown-linux-musl"

The Firecracker binary will be placed at build/cargo_target/${toolchain}/debug/firecracker. For more information on building, testing, and running Firecracker, go to the quickstart guide.

The overall security of Firecracker microVMs, including the ability to meet the criteria for safe multi-tenant computing, depends on a well configured Linux host operating system. A configuration that we believe meets this bar is included in the production host setup document.

Contributing

Firecracker is already running production workloads within AWS, but it's still Day 1 on the journey guided by our mission. There's a lot more to build and we welcome all contributions.

To contribute to Firecracker, check out the development setup section in the getting started guide and then the Firecracker contribution guidelines.

Releases

New Firecracker versions are released via the GitHub repository releases page, typically every two or three months. A history of changes is recorded in our changelog.

The Firecracker release policy is detailed here.

Design

Firecracker's overall architecture is described in the design document.

Features & Capabilities

Firecracker consists of a single micro Virtual Machine Manager process that exposes an API endpoint to the host once started. The API is specified in OpenAPI format. Read more about it in the API docs.

The API endpoint can be used to:

Built-in Capabilities:

Tested platforms

We test all combinations of:

Instance Host OS & Kernel Guest Rootfs Guest Kernel
m5n.metal (Intel Cascade Lake) al2 linux_5.10 ubuntu 24.04 linux_5.10
m6i.metal (Intel Ice Lake) al2023 linux_6.1 linux_6.1
al2023 linux_6.18
m7i.metal-24xl (Intel Sapphire Rapids)
m7i.metal-48xl (Intel Sapphire Rapids)
m8i.metal-48xl (Intel Granite Rapids)*
m8i.metal-96xl (Intel Granite Rapids)*
m6a.metal (AMD Milan)
m7a.metal-48xl (AMD Genoa)
m6g.metal (Graviton 2)
m7g.metal (Graviton 3)
m8g.metal-24xl (Graviton 4)
m8g.metal-48xl (Graviton 4)
m9g.metal-48xl (Graviton 5)

*: We only support AWS EC2 8th Gen Intel (*8i) instances using a 6.1 or 6.18 host kernel. This is due to poor kernel support for Granite Rapids CPUs on 5.10.

Known issues and Limitations

Performance

Firecracker's performance characteristics are listed as part of the specification documentation. All specifications are a part of our commitment to supporting container and function workloads in serverless operational models, and are therefore enforced via continuous integration testing.

Policy for Security Disclosures

The security of Firecracker is our top priority. If you suspect you have uncovered a vulnerability, contact us privately, as outlined in our security policy document; we will immediately prioritize your disclosure.

FAQ & Contact

Frequently asked questions are collected in our FAQ doc.

You can get in touch with the Firecracker community in the following ways:

When communicating within the Firecracker community, please mind our code of conduct.

firecracker (firecracker-microvm/firecracker)

Searching Database…

37.5K ·GitHub
Firecracker
Что это такое?Firecracker — это технология виртуализации с открытым исходным кодом для создания и управления защищёнными микровиртуальными машинами (microVM), которые предназначены для контейнерных и функциональных serverless-нагрузок с изоляцией между арендаторами.
Это среда выполнения контейнеров или что-то другое?Это монитор виртуальных машин (VMM), который использует Linux KVM для запуска лёгких microVM. Он сочетает безопасность аппаратной виртуализации со скоростью, близкой к контейнерам. Уже интегрирован в среды выполнения контейнеров, такие как Kata Containers и Flintlock.
Как его запустить?Скачайте последние готовые бинарные файлы релиза или соберите из исходного кода с помощью Docker (контейнера для разработки) и bash на любой Unix/Linux-системе; готовый бинарный файл появится по пути build/cargotarget/${toolchain}/debug/firecracker.
Нужны ли KVM и особая настройка хоста?Да, требуется подсистема Linux KVM на хосте. Для безопасного использования с несколькими арендаторами также нужна правильно настроенная ОС хоста, как описано в документе о настройке хоста для продакшена.
Есть ли известные ограничения, о которых мне стоит знать?На aarch64 устройство часов реального времени pl031 не поддерживает прерывания, поэтому гостевые программы, которые полагаются на будильник RTC (например, hwclock), не будут работать. Кроме того, Firecracker тестировался только на определённых комбинациях экземпляров AWS EC2 metal и версий ядра.
Работает ли он на процессорах и Intel, и ARM?Да, он протестирован на Intel (Cascade Lake, Ice Lake, Sapphire Rapids, Granite Rapids), AMD (Milan, Genoa) и на экземплярах AWS Graviton (ARM) metal.
Как jailer повышает безопасность?Процесс jailer запускает Firecracker в производственных сценариях, применяя барьер изоляции на основе cgroup и namespace, а затем сбрасывает привилегии до того, как запустится microVM.
Что я могу настроить через API?Через эндпоинт API можно задать количество vCPU, объём памяти, шаблоны CPU, сетевые интерфейсы, блочные устройства на основе файлов с ограничителями скорости, сокеты vsock, устройства entropy и pmem, горячее добавление памяти, а также горячее подключение устройств virtio PCI во время работы. Кроме того, доступны логирование и метрики.
Насколько быстры и легковесны эти microVM?По умолчанию microVM получают 1 vCPU и 128 МиБ памяти, по умолчанию используют подкачку памяти по требованию (demand fault paging) и избыточную подписку CPU (CPU oversubscription). Они спроектированы так, чтобы минимизировать время запуска и поверхность атаки за счёт исключения ненужных устройств.
Как часто выходят новые версии?Новые версии Firecracker выходят на GitHub примерно раз в два-три месяца, а изменения фиксируются в журнале изменений (changelog).
What are similar projects?motor-os, ftl, CubeSandbox, open-compute, smolvm, allox-os, arcbox, gvisor
Which topics is it in?minimalist, virtual-machine, kernel, virtualization, serverless, infrastructure, aws, containers, sandbox, cloud, networking, performance
Creator
firecracker-microvm
Size
42.3 MB
Stars
37.5K
Updated
CommitOct 16Releasev1.17.0Sep 10
Age
9y
Commits · 90 Days