crun

一个快速且内存占用小的OCI容器运行时，完全用C语言编写。

crun符合OCI容器运行时规范（https://github.com/opencontainers/runtime-spec）。

文档

用户文档可在此处获取。

为什么要另一种实现？

虽然Linux容器生态系统中使用的大多数工具都是用Go编写的，但我认为C语言更适合容器运行时这样的底层工具。runc是用Go编写的OCI运行时规范的最常用实现，它会重新执行自身并使用用C编写的模块来在容器进程启动前设置环境。

crun的目标是也能作为一个库使用，可以轻松地包含在程序中，而不需要外部进程来管理OCI容器。

性能

crun比runc更快，并且内存占用更少。

这是在我的机器上按顺序运行100个容器的耗时，容器运行/bin/true：

	crun	runc	%
100 /bin/true	0:01.69	0:3.34	-49.4%

crun需要的资源更少，因此也可以对容器允许的内存设置更严格的限制：

# podman --runtime /usr/bin/runc run --rm --memory 4M fedora echo it works
Error: container_linux.go:346: starting container process caused "process_linux.go:327: getting pipe fds for pid 13859 caused \"readlink /proc/13859/fd/0: no such file or directory\"": OCI runtime command not found error

# podman --runtime /usr/bin/crun run --rm --memory 512k fedora echo it works
it works

依赖

构建需要以下依赖：

Fedora

$ sudo dnf install -y make python git gcc automake autoconf libcap-devel \
    systemd-devel yajl-devel libseccomp-devel pkg-config \
    go-md2man glibc-static python3-libmount libtool

RHEL/CentOS 8

$ sudo yum --enablerepo='*' --disablerepo='media-*' install -y make automake \
    autoconf gettext \
    libtool gcc libcap-devel systemd-devel yajl-devel \
    glibc-static libseccomp-devel python36 git

go-md2man在RHEL/CentOS 8上不可用，因此如果你想构建man页面，还需要手动安装go-md2man。可以通过以下方式安装：

$ sudo yum --enablerepo='*' install -y golang
$ export GOPATH=$HOME/go
$ go get github.com/cpuguy83/go-md2man
$ export PATH=$PATH:$GOPATH/bin

Ubuntu

$ sudo apt-get install -y make git gcc build-essential pkgconf libtool \
   libsystemd-dev libprotobuf-c-dev libcap-dev libseccomp-dev libyajl-dev \
   go-md2man autoconf python3 automake

Alpine

# apk add gcc automake autoconf libtool gettext pkgconf git make musl-dev \
    python3 libcap-dev libseccomp-dev yajl-dev argp-standalone go-md2man

Tumbleweed

# zypper install make automake autoconf gettext libtool gcc libcap-devel \
systemd-devel libyajl-devel libseccomp-devel python3 go-md2man \
glibc-static;

注意，Tumbleweed需要你在编译器标志中指定libseccomp的头文件位置。

# ./autogen.sh
# ./configure CFLAGS='-I/usr/include/libseccomp'
# make

构建

除非你也在构建Python绑定，否则Python只在构建时被libocispec用来生成C解析器，之后就不会使用。

一旦所有依赖都安装好：

$ ./autogen.sh
$ ./configure
$ make

要安装到默认PREFIX（/usr/local）：

$ sudo make install

共享库

之前的构建说明没有启用共享库，因此你将无法使用libcrun。如果你希望构建共享库，可以将之前的./configure语句改为./configure --enable-shared。

静态构建

通过使用官方提供的nix包和本仓库中的派生，可以构建crun的静态链接二进制文件。这些构建是完全可重现的，将创建一个适用于glibc的x86_64/amd64剥离ELF二进制文件。

Nix

要通过本地安装nix包管理器来构建二进制文件：

$ curl -L https://nixos.org/nix/install | sh
$ git clone --recursive https://github.com/containers/crun.git && cd crun
$ nix build -f nix/
$ ./result/bin/crun --version

Ansible

还有一个Ansible角色可用于自动安装上述静态链接的二进制文件到其支持的操作系统：

$ sudo su -
# mkdir -p ~/.ansible/roles
# cd ~/.ansible/roles
# git clone https://github.com/alvistack/ansible-role-crun.git crun
# cd ~/.ansible/roles/crun
# pip3 install --upgrade --ignore-installed --requirement requirements.txt
# molecule converge
# molecule verify