디스크 I/O 부하 시나리오를 통한 컨테이너 런타임별 격리 수준 분석 연구 = A Study on Isolation Levels by Container Runtimes Using Disk I/O Load Scenarios

국문 초록 (Abstract)

빠른 부팅 속도와 높은 이식성 등을 장점으로 가진 컨테이너는 클라우드 네이티브 애플리케이션을 구현하기 위한 핵심 기술이 되었다. 그러나 컨테이너는 동일한 호스트 커널을 공유하기 때문에 격리 수준이 낮고, 자원 간섭 문제에 취약하다는 한계가 있다. 이러한 문제를 완화하기 위해 대부분의 클라우드 서비스 제공업체에서는 Virtual Machines （VMs） 내에 컨테이너를 배포하여 강력한 격리를 제공한다. 그러나 보안이나 규제상의 이유로 여전히 온프레미스 환경에서의 데이터 저장 및 처리가 필수적인 산업이 존재하며, 이들은 모든 컨테이너 서비스를 VMs으로 격리하기 쉽지 않다.
컨테이너를 실행할 수 있는 런타임에는 여러 종류가 있으며, 최근에는 컨테이너의 다양한 보안 문제를 완화하기 위해 보안 강화 런타임이 제안되고 있다. 그러나 각 컨테이너 런타임의 격리 수준을 정량적으로 분석하여 제시한 연구는 충분하지 않은 실정이다. 즉, 런타임을 도입하거나 선정할 때 참고할 수 있는 지표가 부재한 상황이며, 정량적 결과는 시스템을 설계하거나 운영하는 관점에서 매우 중요한 지표로 활용될 수 있다.
본 논문에서는 디스크 측면에서의 컨테이너 런타임별 격리 수준을 분석한다. 실제 서비스 환경에서 디스크 I/O는 거의 필연적으로 발생하므로 디스크 측면에서의 런타임별 격리 수준을 반드시 파악해야 한다. 본 연구에서 제시하는 프레임워크는 실제 서비스 운영 방식을 고려한 멀티 테넌트 환경에 부하 시나리오를 적용한 후, 변화한 디스크의 성능을 측정하는 것이다. 이때, 본 연구에서 사용하는 부하 시나리오는 호스트 시스템의 메모리 크기와 부하 정도, 간섭 정도 등을 종합적으로 고려하여 4 GiB, 8 GiB, 16 GiB 크기의 대용량 파일을 생성하는 것이다. 측정은 순차 읽기（Sequential Reads）, 순차 쓰기（Sequential Writes）, 랜덤 혼합 읽기/쓰기（Random Mixed Reads/Writes） 워크로드로 수행되었으며, 측정 결과를 기반으로 다양한 I/O 패턴에서 나타나는 런타임별 격리 수준과 특성을 분석한다.
본 연구에서는 IOPS（Input/Output Operations Per Second）와 Latency를 지표로 선정하여 디스크 성능을 정량적으로 측정하고, 도출된 결과를 기반으로 격리 수준을 평가한다. 분석 결과에 따르면, IOPS 지표에서 runc와 crun의 성능은 베이스라인 대비 최대 91% 가량 하락하였고, gVisor의 성능은 최대 87.5% 가량 하락하였다. 또한, Latency 지표에서는 runc와 crun이 각각 베이스라인 대비 최대 989%, 962% 가량 증가하는 양상을 보였으며, gVisor는 베이스라인 대비 최대 692% 가량 증가함을 확인하였다. 이러한 결과는 정상적인 행위로 인해 발생한 디스크 I/O가 컨테이너 간 성능 간섭을 유발하는 원인이 될 수 있으며, 보안 강화 런타임으로 제안된 gVisor조차도 디스크 측면에서의 완전한 격리를 수행하지 못함을 시사한다.

다국어 초록 (Multilingual Abstract)

Containers, with their advantages such as fast boot times and high portability, have become a core technology for implementing cloud-native applications. However, they have limitations, including low isolation levels and vulnerability to resource interference issues due to sharing the same host kernel. To mitigate these problems, most cloud service providers deploy containers within Virtual Machines （VMs） to provide strong isolation. Nevertheless, there are industries where data storage and processing in on-premises environments remain essential for security or regulatory reasons, and for these industries, it is not easy to isolate all container services within VMs.
There are various types of runtimes capable of executing containers, and recently, security-enhanced runtimes have been proposed to mitigate various security issues associated with containers. However, there is currently a lack of research that quantitatively analyzes and presents the isolation levels of each container runtime. In other words, there is a lack of metrics that can be used as a reference when adopting or selecting a runtime, and quantitative results can serve as crucial metrics from the perspective of system design and operation.
This paper analyzes the isolation levels of different container runtimes from a disk perspective. Since disk I/O is almost inevitable in real-world service environments, it is essential to understand the isolation levels of each runtime in terms of disk performance. The framework proposed in this study involves applying load scenarios to a multi-tenant environment that accounts for actual service operation methods, and then measuring the resulting changes in disk performance. The load scenarios used in this study involve creating large files of 4 GiB, 8 GiB, and 16 GiB in size, taking into comprehensive consideration the host system’s memory size, load level, and interference level. Measurements were performed using Sequential Reads, Sequential Writes, and Random Mixed Reads/Writes workloads, and based on the measurement results, the isolation levels and characteristics of each runtime observed in various I/O patterns are analyzed.
In this study, we selected IOPS （Input/Output Operations Per Second） and latency as metrics to quantitatively measure disk performance and evaluate the isolation level based on the derived results. According to the analysis results, the performance of runc and crun in terms of IOPS dropped by up to approximately 91% compared to the baseline, while gVisor’s performance dropped by up to approximately 87.5%. Furthermore, regarding the latency metric, runc and crun showed increases of up to approximately 989% and 962%, respectively, compared to the baseline, while gVisor showed an increase of up to approximately 692% compared to the baseline. These results suggest that disk I/O generated by normal operations can cause performance interference between containers, and that even gVisor, which was proposed as a security-enhanced runtime, fails to achieve complete isolation at the disk level.

목차 (Table of Contents)

• Ⅰ. 서론 1
• 1.1 연구 배경 1
• 1.2 연구의 필요성 3
• Ⅱ. 배경지식 및 관련 연구 6
• 2.1 배경지식 6
• 2.1.1 가상화 기술 6
• 2.1.2 runc/crun 8
• 2.1.3 gVisor 9
• 2.2 관련 연구 11
• 2.2.1 컨테이너 런타임 성능 측정 연구 11
• 2.2.2 컨테이너 런타임 격리성 분석 연구 12
• Ⅲ. 프레임워크 설계 및 구현 15
• 3.1 디스크 간섭을 유도하기 위한 부하 시나리오 정의 15
• 3.2 컨테이너 런타임별 디스크 격리 수준 측정 18
• Ⅳ. 실험 및 평가 22
• 4.1 실험 환경 22
• 4.2 IOPS 성능 비교 24
• 4.2.1 순차 읽기 워크로드에서의 런타임별 성능 25
• 4.2.2 순차 쓰기 워크로드에서의 런타임별 성능 26
• 4.2.3 랜덤 혼합 읽기/쓰기 워크로드에서의 런타임별 성능 27
• 4.3 Latency 비교 29
• 4.3.1 순차 읽기 워크로드에서의 런타임별 Latency 30
• 4.3.2 순차 쓰기 워크로드에서의 런타임별 Latency 31
• 4.3.3 랜덤 혼합 읽기/쓰기 워크로드에서의 런타임별 Latency 32
• 4.4 평가 결과 34
• Ⅴ. 결론 및 향후 연구 36
• 참고 문헌 38