Scheduling di pod a criticità mista: cgroups v2, core pinning e priorità RT
Impedire alle app di intrattenimento di rallentare i microservizi di sicurezza e frenata mediante i controller gerarchici cgroups v2.
Gerarchia unificata cgroups v2 vs vulnerabilità della vecchia versione v1
La vecchia versione cgroups v1 usava alberi separati che creavano falle: un'app con CPU limitata poteva consumare RAM tramite scritture su disco. cgroups v2 unifica la gerarchia facendo cooperare memoria e I/O in modo atomico.
Bande di priorità real-time SCHED_FIFO per microservizi critici ASIL-D
Mentre le app ordinarie girano con il Completely Fair Scheduler (SCHED_OTHER), i pod critici usano POSIX SCHED_FIFO con priorità oltre 90. Il kernel effettua la preemption di qualsiasi thread in 12 microsecondi garantendo i cicli di sicurezza.
- cgroups v2 memory.max e memory.high per terminare immediatamente i pod non critici prima del collasso.
- Core pinning statico per i pod di sicurezza ASIL-D con priorità real-time assoluta SCHED_FIFO 99.
- Regolazione io.weight e io.max per impedire che i log multimediali blocchino l'accesso al disco per la sicurezza.
- Namespace di isolamento del kernel per schermare IPC, alberi dei processi e interfacce di rete tra domini.
Esplora il portafoglio di domini