Biz konteynerlashtirilgan ilovalarning asosiy g'oyasini tasvirlab berdik va Dockerni batafsil muhokama qildik

Singularity uchun yumshoq kirish.
Singularity konteynerlari Docker konteynerlaridan bir qancha muhim jihatlari bilan farq qiladi, jumladan nomlar boʻshliqlari, foydalanuvchi imtiyozlari va tasvirlarning oʻzlari. Ushbu mavzularning batafsil texnik tavsifi uchun yuqorida keltirilgan CharlieCloud qog'ozini o'qing. Bu erdagi muhokamamiz sizga asosiy g'oyalarni berish uchun mo'ljallangan.
Ruxsatlar
Docker bilan konteyner ichidagi jarayon konteyner operatsion tizimida va konteyner fayl tizimida “root” imtiyozlari bilan ishlaydi. Agar siz Docker konteynerini VM yoki ildiz huquqiga ega bo'lgan boshqa tizimda ishlatayotgan bo'lsangiz (masalan, shaxsiy kompyuteringiz) bu unchalik katta ish emas. Ammo, agar siz universitet yoki laboratoriya superkompyuteri kabi umumiy, yalang'och metall klasterda ishlayotgan bo'lsangiz, bu juda jiddiy muammo. Agar foydalanuvchi Docker demoni bilan o'zaro aloqada bo'lsa, ildiz holatini olish va potentsial zararli harakatlar qilish mumkin bo'ladi. Singularity buni ildiz bilan emas, balki foydalanuvchi identifikatori bilan ishlaydigan tasvir yaratish orqali hal qiladi. Foydalanuvchining konteyner ichida bo'lgan ruxsatlari konteyner tashqarisidagi ruxsatlar bilan bir xil bo'lib, shuning uchun xavfsizlik muammosi olib tashlanadi.
Fayl tizimi
Eslatib o'tamiz, Docker tasvirni ishga tushirganda, u xost fayl tizimiga to'g'ridan-to'g'ri kirish imkoniga ega bo'lmagan xostda jarayon sifatida ishga tushiriladi, bundan tashqari, konteynerga aniq o'zaro o'rnatilgan kataloglar bundan mustasno. To'liq izolyatsiya qilingan muhitning ijobiy va salbiy tomonlari mavjud, ammo ilmiy hisoblash uchun odatda xostdagi fayllar, ma'lumotlar va kutubxonalar bilan o'zaro aloqa qilish kerak bo'ladi. Bu erda biz yana bir asosiy farqga keldik - Singularity konteyner fayl tizimini to'liq yopmaydi. Haqiqatan ham, foydalanuvchi foydalanuvchining uy katalogini ko'rishi bilan ishlaydigan jarayon va foydalanuvchining muhiti muammosiz taqsimlanadi. Docker konteynerida ko'rsatilmagan TCP va MPI uchun zarur bo'lgan tarmoq steklari Singularity konteynerida ochiladi. Agar siz Docker bilan tanish bo'lsangiz, ehtimol siz hostdan konteynerga portlarni solishtirishga odatlangansiz. Buning sababi shundaki, tarmoq steklari konteyner uchun shaxsiydir va afsuski, bu Docker konteynerlarini Infiniband kabi murakkabroq tarmoqlar uchun mos kelmaydi. Shuning uchun, agar siz Docker bilan bir nechta konteyner nusxalarini ishchi sifatida ishlatadigan MPI dasturlarini bajarishga harakat qilgan bo'lsangiz, ular juda noqulay va sekin ekanligini sezasiz. Bu birinchi navbatda MPI-dan foydalanishning butun nuqtasiga zid keladi, ya'ni ultra-tezkor, sinxronlashtirilgan aloqani qo'llab-quvvatlash. Agar siz Docker bilan bir nechta konteyner nusxalarini ishchi sifatida ishlatadigan MPI dasturlarini bajarishga harakat qilgan bo'lsangiz, ular juda noqulay va sekin ekanligini sezasiz. Bu birinchi navbatda MPI-dan foydalanishning butun nuqtasiga zid keladi, ya'ni ultra-tezkor, sinxronlashtirilgan aloqani qo'llab-quvvatlash. Agar siz Docker bilan bir nechta konteyner nusxalarini ishchi sifatida ishlatadigan MPI dasturlarini bajarishga harakat qilgan bo'lsangiz, ular juda noqulay va sekin ekanligini sezasiz. Bu birinchi navbatda MPI-dan foydalanishning butun nuqtasiga zid keladi, ya'ni ultra-tezkor, sinxronlashtirilgan aloqani qo'llab-quvvatlash.