criu restoreを非特権コンテナから呼ぶことはできるか - sometimes I laugh

CRIUによるプロセスのリストアには複数のcapabilityが必要であり、コンテナ内部で行うためには--privileged相当で起動された特権コンテナでなければいけません。例えば、TCP connection repairにCAP_NET_ADMINが必要なのは明らかですが、もっと単純なプロセスであれば非特権コンテナでもリストアできるのでは...？と考えたのが事の始まりです。 背景 仕事で面倒を見ているRailsアプリの起動が遅いという問題がありました。起動が遅いとさまざまな弊害があるのですが、その一つにオートスケールが間に合わないというのがあります。 AWS FargeteやGoogle Cloud Runといった現代的なサーバーレスソリューションでは、ひとつひとつのコンピューティングリソースは小さく、リクエスト数の増加に応じて水平にスケールします。このようなアーキテクチャでは、コン

[sh19910711]

2024 / "Railsアプリの起動が遅いという問題 / 時間のかかる初期化処理を既に終えたプロセスをリストアすることで、高速に起動できないか / LambdaではSnapStartと呼ばれるCRIUを組み込んだ機能が提供"

[udzura]

“今回の調査で、CAP_CHECKPOINT_RESTOREとCAP_SYS_PTRACEさえあれば、CRIUによる単純なプロセスのリストアが可能であることがわかりました” ここまで強い権限を持ったコンテナを「非特権」と言えるのかは僕にはわからんな