Parallels containers for windows

Время на прочтение7 мин

Количество просмотров33K

В октябре 2014 года компания Microsoft объявила о партнерстве с Docker, в рамках которого будет представлена реализация контейнерной виртуализации для будущей версии ОС Windows Server, ожидаемая в 3 квартале 2015 года. Для поддержки контейнеров Microsoft воспользуется собственной технологией, разработанной в исследовательском проекте Drawbridge. Технология виртуализации Drawbridge похожа на ту, что применяется в проекте Wine, позволяющем запускать приложения Windows на компьютерах с UNIX-подобными операционными системами. Ключевая особенность обеих технологий заключается в том, что виртуализация аппаратуры (процессора, памяти, устройств ввода-вывода) не требуется, а эмулируется исключительно исполняемое окружение ОС Windows.
Parallels начала разрабатывать контейнеры под Windows задолго до того, как об этом задумались в Microsoft. И поскольку эта тема в связи с анонсом Microsoft, очевидно, становится очень актуальной, то в этом посте я постараюсь рассказать, за счет каких именно технологий работают наши Windows-контейнеры, какими функциональными возможностями обладают, а также каковы основные сценарии их применения. В комментариях готов ответить на все вопросы, включая самый популярный — сколько максимально контейнеров можно запустить на хосте.

Контейнеры Parallels

Увеличение мощностей вычислительных систем продолжает подчиняться закону Мура, но как эффективно использовать эти системы с минимальными накладными расходами? Одно из возможных решений — применение контейнеров для контроля ресурсов и изоляции приложений, запущенных разными пользователями. Без ложной скромности, пионером и лидером в продвижении контейнерных технологий является компания Parallels, которая, помимо продуктов для ОС на базе ядра Linux, вот уже без малого 10 лет предлагает свою собственную реализацию контейнеров для Windows. Подход, реализованный в Parallels, основан на виртуализации ядра ОС, которое после модификаций способно запускать произвольное количество пользовательских окружений Windows.

Пользовательское окружение размещено на виртуальном диске, содержащем ссылки на файлы ОС Windows и свой собственный системный реестр; с этого же диска запускаются системные файлы ОС Windows, которые формируют окружение для пользователей (в том числе администратора), с возможностью членства в домене, работы приложений и сетевого взаимодействия через виртуальный адаптер. Это то, что мы называем Parallels-контейнером для Windows.

А что под капотом?

Контейнеры Parallels — как для ОС на базе ядра Linux, так и для Windows, — полагаются на модификации в ядре. И если Linux-сообщество приняло от Parallels большинство этих изменений в главную ветку исходных кодов ядра, то компания Microsoft не была настолько открытой. За время работы над контейнерами мы направили в Microsoft большое количество сообщений об обнаруженных ограничениях и просто ошибках в компонентах ядра Windows. Часть из них были учтены в следующих версиях Windows, а для решения более десятка проблем Microsoft выпустила отдельные пакеты исправлений. Так что можно сказать, что мы тоже участвуем, хотя и косвенно, в разработке компонентов ядра Windows. Но, к сожалению, на наши инициативы о расширении сотрудничества в компании Microsoft пойти не решились.

Так как же это все-таки работает, если Microsoft не принимает изменения и не предоставляет доступ к исходным кодам ядра Windows? При разработке контейнеров Parallels центральное место занимают 2 технологии: реверс-инжиниринг и обновление программного кода во время исполнения.

И если реверс-инжиниринг — это, скорее, практическое применение метода научного познания, известного как системный анализ, в области компьютерных наук, то реализацией технологии обновления программного кода во время исполнения мы в Parallels по-настоящему гордимся, считая ее одной из лучших в мире, и защищаем патентами.

Как уже отмечалось, вся технология виртуализации работает в ядре ОС, что позволяет разделять объекты ядра между контейнерами, тем самым изолируя контейнеры друг от друга. Каждый контейнер имеет свой собственный набор процессов, сессий и драйверов, а также реестр и дерево объектов ядра.

Картинка с сайта: habr.com

Обратим внимание на скриншоты. Во-первых, можно сделать вывод, что опыт взаимодействия пользователя с ОС в контейнере ничем не отличается от взаимодействия с самой операционной системой Windows, во-вторых, становится понятно, как работает изоляция. Контейнеры ничего не знают ни друг о друге, ни о хосте, на котором они размещены, а вот с самого хоста контейнеры легко доступны, поэтому администратор хоста является СуперАдминистратором для контейнеров. Контейнеры интегрированы в ОС Windows таким образом, чтобы штатные инструменты ОС, такие как Диспетчер задач, Редактор Реестра и набор утилит Sysinternals Марка Руссиновича могли использоваться для управления контейнерами и их мониторинга.

Сколько вешать в граммах?

Самый популярный вопрос наших пользователей – сколько контейнеров Parallels можно запустить на хосте? В лаборатории Parallels во время эксперимента нам удалось запустить порядка 600 контейнеров, в которые можно было авторизоваться через RDP, хотя задержки в отклике пользовательского интерфейса были уже неприемлемо велики. Дальнейшие эксперименты подтвердили, что накладные расходы на виртуализацию ядра ОС относительно невелики и заметно меньше, чем в решениях на базе гипервизоров, поэтому решающими факторами будут приложения, которые вы планируете запускать в контейнере, и физические возможности самого хоста.

Для применения в реальной жизни количество приложений внутри контейнеров необходимо ограничивать, поэтому контроль ресурсов – это ключевая функциональная возможность контейнеров Parallels. Можно контролировать потребление контейнером вычислительной мощности процессоров, памяти, занимаемого места на СХД и сетевого трафика.

Шаблоны приложений

Как разворачивать приложения внутри контейнеров Parallels? Можно делать это как обычно, запуская установщик приложения, но если контейнеров очень много — жать кнопку «Установить» придется неисчислимое количество раз. Чтобы автоматизировать процесс и не тратить дисковое пространство контейнера для размещения файлов приложения, мы применяем Шаблоны приложений. Физически шаблон — это файл, в котором хранится информация, воспроизводящая оригинальное размещение файлов, папок и ключей реестра. Для создания шаблона приложения используется специальный инструмент, Мастер Создания Шаблонов, который отслеживает все изменения на файловой системе и в реестре, которые вносит установщик приложения, и сохраняет эти изменения в шаблон приложения. Получившийся шаблон приложения можно подключить к любому контейнеру, что будет эквивалентно установке этого приложения, и сразу же начать им пользоваться в контейнере. Пользователь контейнеров Parallels может самостоятельно создать шаблон из любого приложения, которое можно установить внутрь контейнера.

Файловая система с поддержкой копирования при записи

Контейнеры Parallels делят друг с другом не только ядро, но и все файлы, установленные на хост из дистрибутива OC Windows, что значительно экономит место на СХД. Дедупликация данных осуществляется на файловом уровне с помощью шаблонов и специализированной файловой системы с поддержкой копирования-при-записи. Для каждой поддерживаемой версии ОС Windows, включая языковые локализации, Parallels выпускает шаблон ОС. Шаблон ОС отличается от шаблона приложения только тем, что содержимое файлов в нем не хранится. Изнутри контейнера обращение к файлам из шаблона ОС выглядит абсолютно прозрачно, создавая целостное представление файловой структуры ОС Windows, состоящее из общих и приватных для контейнера файлов. Поддержка в файловой системе копирования-при-записи позволяет избежать модификации файлов из шаблона ОС, сохраняя изменения только внутри контейнера.

Кому это нужно?

С самого начала проекта мы в Parallels предлагали свои контейнеры для хостинга веб-приложений, главное из которых — система автоматизации Parallels Plesk. Продукты хостинга на базе контейнеров Parallels предлагают ведущие мировые провайдеры, такие как AT&T, 1&1, GoDaddy, HostEurope и др.

Картинка с сайта: habr.com

Но больше всего контейнеры Parallels под Windows подходят для развертывания множества одинаковых окружений, управляемых и настраиваемых единообразно. Пример такого сценария — виртуализация рабочих столов. Так, Parallels в партнёрстве с интегратором IBS разработала и с 2013 предлагает сертифицированное ФСТЭК решение Parallels VDI, которое состоит из брокера соединений и виртуализации на базе контейнеров. В настоящий момент на базе этого решения реализуется масштабный проект по автоматизации Федеральной налоговой службы РФ, предусматривающий переезд в облачный дата-центр более 10.000 рабочих мест.

История проекта

Проект контейнеров под Windows стартовал в мае 2002 года, после удачных экспериментов с контейнерами Parallels на базе ядра ОС Linux. В январе 2003 года был продемонстрирован прототип на Windows 2000 Server, который умел запускать 50 изолированных копий Microsoft IIS и Microsoft SQL Server, а уже в июне 2005 состоялся первый публичный релиз продукта Parallels Virtuozzo Containers for Windows 2003 Server версии 3.0.

На сегодняшний день проект пережил 7 публичных релизов, было выпущено без малого 300 обновлений, а кодовая база проекта превысила 1.300.000 SLOCs. А совсем недавно общее количество контейнеров, созданных с использованием технологий Parallels (включая описываемую), превысило 1.000.000!

Высокой оценки контейнеры Parallels заслужили и в Microsoft – в частных беседах инженеры этой компании отзывались о проекте как о самом технически сложном для ядра Windows.

Картинка с сайта: habr.com

Заключение

Приход Microsoft на рынок контейнеров, без сомнения, сделает такой подход к виртуализации гораздо популярнее, а решения Docker позволят «заворачивать» приложения в контейнеры простым и удобным способом. С технической точки зрения достоинством контейнеров Microsoft можно считать небольшие затраты на виртуализацию и возможность реализовать контейнеры исключительно в пользовательском режиме исполнения ОС. К недостаткам можно отнести трудности в обеспечении совместимости приложений, ведь для этого необходимо эмулировать весь Windows API, который на данный момент насчитывает тысячи вызовов.

Несмотря на то, что подходы к реализации контейнеров в Parallels и Microsoft различны, обе технологии могут прекрасно дополнять друг друга — контейнеры Microsoft, вероятно, смогут работать внутри контейнеров Parallels. Поэтому мы рассматриваем Microsoft не как конкурента, а как создателя экосистемы Windows, в которой контейнерная виртуализация занимает важное место.

Нам позволяет надеяться на это тот факт, что существующие сейчас на рынке проекты по контейнерной виртуализации для ОС на базе ядра Linux не находятся в состоянии конкуренции – над большинством из них команды из Parallels, Google, IBM, Canonical, Docker и т.д. работают совместно. И хотя экосистема разработки ОС Windows по понятным причинам более закрыта, мы рассчитываем на дальнейшее сотрудничество.

Узнать больше и попробовать продукт Parallels Containers for Windows можно здесь.
Я постараюсь также ответить на все ваши вопросы в комментариях.

Опишу интересное, где то даже уникальное и пока еще актуальное  решение Parallels VDI.

Собственно, что такое Virtual Desktop Infrastructure aka VDI aka Инфраструктура виртуальных рабочих столов  расписывать не буду, гугл в помощь. Про то, что она дает  — тоже. Остановлюсь, правда, на одном применении: обеспечение безопасного доступа к закрытому сегменту сети (например, сегменту персональных данных). Если таковой доступ организовать через использование VDI, то заметно сразу несколько плюсов:

• защищать группу серверов VDI и «одно окно» в виде брокера или шлюза проще, чем кучу клиентских устройств;
• можно гибко и многоступенчато регулировать объем и характеристики связности между защищаемыми данными и клиентом, который должен ими пользоваться;
• сертифицировать такое решение значительно проще, не огораживая его «по самые немогусказатьчто».

Идем далее, компоненты решения:

• Parallels Connection Broker (CB) — основной компонент решения Parallels VDI.  Отвечает за взаимодействие удаленных пользователей с инфраструктурой рабочий столов. Он же управляет жизненным циклом виртуальных рабочих столов на хост-серверах: развертывание, обновление, включение/выключение. Представляет собой windows-службу.
• CB database – база данных брокера соединений, хранит данные о пользователях, виртуальных рабочих сред, пулах, привязке пользователей к пулам. В качестве CBD используется СУБД Postgres 9.x, можно как на сервере под управлением ОС Windows так и на Linux.
• VDI client – клиентское приложение для подключения пользователя к виртуальному рабочему столу. Фактически RDP-клиент с доп. логикой. Есть дистрибутивы клиента под Windows и Linux. Клиент под Linux написан с использованием Mono.
• Parallels Virtual Automation (PVA) – система комплексного управления виртуальными окружениями. Мониторинг, автоматизация, управление ресурсами и т.д.
• Parallels Containers for Windows (Virtuozzo Containers) — Виртуализация на уровне операционной системы. Обеспечивает более высокую плотность виртуальных серверов и удобство администрирования.В качестве ОС хост-серверов поддерживаются Windows 2008 R2 SP1 и Windows 2012 (без R2).

Если интересно узнать что такое контейнерная виртуализация можно почитать статью из блога Parallels: http://habrahabr.ru/company/parallels/blog/245533/.

Выглядеть все вышеперечисленное может, например, так:

Картинка с сайта: vbponomarev.wordpress.com

Каждому пользователю предоставляется контейнер на хост-серверах. Этот контейнер можно «загримировать» под десктопную ОС: контейнер на Windows 2008 под Windows 7, Windows 2012 под Windows 8.

Получается как то так:

Контейнеры разворачиваются из шаблонов контейнеров (он же «золотой образ»). Шаблон может быть создан из обычного контейнера, путем объявления его «золотым образом»:).

Да, кстати, не будем путать «золотые образы» с другими шаблонами. Любой контейнер создается на основе шаблона операционной системы с добавлением шаблонов приложений. Имеется два типа таких шаблонов:

• шаблон операционной системы: создается во время установки PCfW, используется для создания контейнеров. Понятно, что ОС может быть только та, которая установлена на хост-сервере.
• шаблон приложений: шаблоны приложений создаются администратором и предназначены для быстрой установки приложений. Грубо говоря представляют собой набор файлов и параметров реестра, которые пишет приложение при установке.

Контейнеры группируются в пулы с автоматическим или ручным созданием новых контейнеров. Каждому пулу ставится в соответствие «золотой образ». Пулы бывают двух типов:

• AUTO пул
  Контейнеры в auto пуле создаются из базового контейнера. Контейнер пользователю назначается индивидуально, или же автоматически, при первом подключении к нему пользователя. Когда пользователю требуется контейнер, то он всегда получает один и тот же, закрепленный за ним. В случае необходимости обновить приложения новые шаблоны приложений устанавливаются на шаблон контейнера — «золотой образ»;
• MANUAL пул
  Состоит и контейнеров, которые были предварительно созданы с индивидуальными параметрами для пользователя. Фактически — это аналог обычных ПК. В случае необходимости обновление нужно будет делать для каждого такого контейнера.

Чуть подробнее о функциях брокера:

• Аутентификация и авторизация пользователей;
• Подготовка контейнеров в соответствии с правами пользователя;
• Соединение клиента VDI с собственным контейнером с помощью протокола RDP;
• Мониторинг активности пользователей.

Брокер может работать в двух режимах:

• режим по умолчанию: брокер указывает клиенту на нужный виртуальный десктоп, после чего клиент самостоятельно соединяется к нему и трафик RDP идет мимо брокера;
• режим шлюза: весь трафик между клиентом и виртуальным рабочим столом идет через брокера, который осуществляет шифрование канала между клиентом и собой.
  

  Картинка с сайта: vbponomarev.wordpress.com

Резюме:

• плюсы
  • для передачи десктопа клиенту используется понятный RDP, для которого есть куча сайзеров и опыта использования;
  • более высокая плотность по сравнению с решениями на основе гипервизоров, больше клиентов на сервер, таким образом, решение получается дешевле, как минимум, по железу;
  • сертифицирован во ФСТЭК (в деталях, правда, не разбирался);
  • импортозамещение (производитель — российское юрлицо).
• минусы (на момент написания, май 2015)
  • публиковать приложения Parallels VDI не умеет;
  • веб-интерфейса пользователя (не говоря уже об интеграционном портале) нет;
  • нет версии клиента под iOS/Android;
  • поддерживается работа только с одним доменом Active Directory;
  • варианта с Linux в качестве ОС виртуального рабочего стола, как ни странно, нет;
  • осилить Windows 2012 R2 и написать под него контейнеры Parallels (пока) «не шмагла». Получится ли в будущем — узнаем;
  • нужно покупать лицензии на серверную Windows и лицензии на терминальный доступ для всех клиентов.



Картинка с сайта: manualmachine.com

Parallels

Parallels Virtuozzo
Containers 4.6 for
Windows

Installation Guide

Copyright © 1999-2010 Parallels Holdings, Ltd. and its affiliates. All
rights reserved.

Картинка с сайта: manualmachine.com

Parallels Holdings, Ltd.
c/o Parallels International GMbH.
Parallels International GmbH
Vordergasse 49
CH8200 Schaffhausen
Switzerland
Tel: + 49 (6151) 42996 — 0
Fax: + 49 (6151) 42996 — 255
www.parallels.com

Copyright © 1999-2010 Parallels Holdings, Ltd. and its affiliates. All rights reserved.

This product is protected by United States and international copyright laws. The product’s underlying
technology, patents, and trademarks are listed at http://www.parallels.com/trademarks.

Microsoft, Windows, Windows Server, Windows NT, Windows Vista, and MS-DOS are registered trademarks of
Microsoft Corporation.
Linux is a registered trademark of Linus Torvalds.
Mac is a registered trademark of Apple, Inc.
All other marks and names mentioned herein may be trademarks of their respective owners.

Картинка с сайта: manualmachine.com

Contents

Preface 4

About Parallels Virtuozzo Containers ……………………………………………………………………………………………. 5

About This Guide ……………………………………………………………………………………………………………………….. 6

Organizati on of This Gui de………………………………………………………………………………………………… 6

Documentati on Conventions ………………………………………………………………………………………………. 6

Getting Help ………………………………………………………………………………………………………………………………. 8

Feedback …………………………………………………………………………………………………………………………………… 9

Preparing for Parallels Virtuozzo Containers 4.6 Installation 10

Planning Your Parallels Virtuozzo Containers System …………………………………………………………………… 11

Installation Requirements …………………………………………………………………………………………………………… 13

System Requirements ………………………………………………………………………………………………………. 13

Network Requirements ……………………………………………………………………………………………………. 15

Parallels Virtuozzo Containers Installation Overview ……………………………………………………………………. 16

Installation Checklist ………………………………………………………………………………………………………. 17

Installing Parallels Virtuozzo Containers 4.6 18

Obtaining Parallels Virtuozzo Containers …………………………………………………………………………………….. 19

Installing Parallels Virtuozzo Containers ……………………………………………………………………………………… 24

Installing Parallels Virtual Automation Automatically …………………………………………………………. 33

Installing Parallels Virtual Automation Manually ……………………………………………………………….. 35

Performing Unattended Installation of Parallels Virtuozzo Co ntainers …………………………………………….. 36

Overview ……………………………………………………………………………………………………………………….. 36

Preparing for Installation …………………………………………………………………………………………………. 37

Installing Parallels Virtuozzo Containers ……………………………………………………………………………. 38

Upgrading to Parallels Virtuozzo Containers 4.6 …………………………………………………………………………… 41

Uninstalling Parallels Virtuozz o Containers …………………………………………………………………………………. 44

Setting Parallels Virtuozzo Containers Tools to Work 46

Setting Up Parallels Virtual Automation ………………………………………………………………………………………. 46

Logging In to Parallels Virtual Automation ………………………………………………………………………… 47

Registering Hardware Nodes ……………………………………………………………………………………………. 47

Setting Up Parallels Managem e nt Console …………………………………………………………………………………… 48

Installing Parallels Management Console …………………………………………………………………………… 48

Registering Hardware Node ……………………………………………………………………………………………… 50

Glossary 53

Index 55