Junctiond: Extending FaaS Runtimes with Kernel-Bypass for Improved Performance and Isolation

核心概念

Junction improves FaaS performance by reducing latency, increasing throughput, and enhancing isolation.

摘要

このレポートでは、Junctionを使用してFaaSランタイムのパフォーマンスを向上させる方法に焦点を当てています。Junctionは、遅延を減少させ、スループットを増加させ、分離性を向上させることで、FaaSのパフォーマンスを向上させます。具体的には、Junctionがfaasdの主要実行ランタイムとしてシームレスに統合される方法を評価しました。これにより、テールレイテンシが最大81％削減され、スループットが最大5倍向上します。

統計資料

Junctiondは中央値とP99のレイテンシをそれぞれ37.33％と63.42％削減しました。
Junctiondは中央値でレイテンシが2倍、テールで3.5倍低下しながら、スループットが最大5倍向上しました。
Junctionインスタンスは36コアサーバーで数千の関数を管理するために1つの専用コアを使用できます。
Junctionインスタンスの起動には3.4ミリ秒かかります。

引述

從以下內容提煉的關鍵洞見

Junctiond

by Enri... 於 arxiv.org 03-07-2024

https://arxiv.org/pdf/2403.03377.pdf

深入探究

他のシナリオでもJunctionの利点や限界はどうなるか？

Junctionは、FaaSランタイムにおいてパフォーマンスを向上させるために有効であることが示されています。他のシナリオでは、例えば大規模データ処理や高トラフィック環境など、ネットワーク性能が重要視される場面でJunctionの利点が顕著に現れる可能性があります。一方で、小規模なアプリケーションや低負荷状況では、Junctionを導入することで得られる恩恵が少ないかもしれません。また、Junction自体が新しい技術であるため、導入コストや運用面での課題も考慮する必要があります。

コンテナと比較した場合、Junctionが提供する分離性のメリットは何ですか？

コンテナと比較して、Junctionはより強固な分離性を提供します。これは主に以下の理由からです。

攻撃サーフェス削減: Junctionカーネルはシステムコールを介在させ外部コンポーネント（ホストカーネル）との相互作用を最小限化し攻撃サーフェスを削減します。
パケット直接配信: Junctionはパケットをハードウェア経由でサービスや関数へ直接配信するため、ソフトウェア経由の切り替え不要です。
マルチテナント対応: FaaSランタイムではマルチテナント環境下でも安全性確保が求められます。この点でContainersよりも信頼すべきレビュー対象コード量及び攻撃可能箇所数を減らすことに役立ちます。

FaaSランタイムにおけるセキュリティとパフォーマンス向上について考える際、他の新興技術や手法と比較してどんな可能性があるか？

FaaSランタイムにおけるセキュリティ強化及びパフォーマンス向上を追求する際、「Secure Enclaves」や「Hardware-based Isolation」といった新興技術・手法と比較した場合次のような可能性が考えられます：

Secure Enclaves：Secure Enclaves（Intel SGX等）は極めて高度なセキュリティ保護機能を提供します。しかし通常その使用方法・制約事項等多く存在し実装・管理難易度も高く，特定条件下しか活用しづらい側面もあります。
Hardware-based Isolation：物理的レベルで資源分離/仮想化する手法も注目されています．ただし，柔軟性面では容器／VMより劣っており，運用管理等課題も残されています．
これら新興技術／手法それぞれ優位点欠点有します．往々FaaSランタイム内部各種ニーズ満足させつつバランス取った採択戦略策定必要です．