Docker Desktop 2016'dan beri microVM'ler üzerinde çalışıyor, mühendis açıklıyor

Hacker News'in şu an ön sayfasında yer alan bir Docker mühendisinin blog yazısı, modaya dönüşmüş bir altyapı tartuşmasını yeniden çerçeveleyen bir iddiada bulunuyor: Docker'ın masaüstü ürünü, bu terim bir moda sözcüğü haline gelmeden çok önce, 2016'dan beri microVM'ler üzerine inşa edilmiş durumda.

dave.recoil.org'daki yazı, 2015'te Docker'a katılan bir mühendis tarafından kaleme alınmış. Yazı, microVM'lere yönelik son dönemdeki ilgiye cevap veriyor; microVM ile kastedilen, Firecracker gibi minimal bir sanal makine izleyicisi (VMM) altında, KVM veya Xen gibi bir hypervisor üzerinde çalışan, budanmış bir Linux çekirdeğinde yürütülen iş yükleri. Firecracker'ı AWS, re:Invent 2018'de duyurmuştu. MicroVM'ler sık sık geleneksel Docker container'larıyla karşılaştırılıyor ve daha güvenli seçenek olarak sunuluyor. Yazarın argümanı ise Docker'ın bu çizgiyi on yıl önce zaten geçtiği.

VirtualBox'tan library VMM'ye

Yazıya göre yazarın 2015'te Docker'a katıldığı dönemde teknolojinin en güncel hali, VirtualBox üzerinde çalışan Docker Toolbox'tı. VirtualBox yetenekli bir üründü ama Docker'ın ihtiyaç duyduğundan çok daha fazlasını içeriyordu; kendi grafik arayüzü ve kendi güncelleme süreci dahil.

Docker, ürününün parçalardan oluşan bir paket gibi değil, yerel bir Mac ya da Windows uygulaması gibi hissedilmesini istiyordu. Mirage Unikernel kütüphanelerinden yararlanan ekip, yazının "library VMM" dediği şeyi geliştirdi: Docker uygulamasının içine gömülü, tek bir iş için tasarlanmış ve küçük, güvenli ve hızlı olacak şekilde inşa edilmiş bir sanal makine izleyicisi. İlk sürüm hyperkit adını taşıyordu, şu anki sürüm ise Docker VMM. Bir dipnot, bir tavizi kayda geçiriyor: Her şeyi tek bir statik, unikernel benzeri sürece bağlama hedeflense de, teknik nedenlerle VM başına hâlâ tek bir host süreci bulunuyor.

Guest tarafı da minimaldi. VM'nin çekirdeği ve root dosya sistemi LinuxKit projesinden geliyordu ve yazı, bugünkü sürümü kavramsal olarak değişmemiş, containerd'nin nerdbox'ına benzer, daha da yalın bir varyant olarak tanımlıyor.

Tasarım 2016'da neyi sağladı

Docker for Mac —sonradan Docker Desktop olarak yeniden adlandırıldı— için microVM yaklaşımı, yazıya göre üç şeyi mümkün kıldı:

• Her platformda rootless çalışma; Linux'un guest içi "rootless" desteğine bel bağlamadan. Linux çekirdeğinin tamamı güvenilmez olarak ele alındığı için, yazarın argümanına göre bir Linux çekirdek CVE'si bile sorun oluşturmuyor.

• Akıl yürütmeyi ve denetlemeyi kolaylaştıran, sıkı biçimde kısıtlanmış bir host/VM arayüzüne sahip minimal bir aygıt modeli.

• Sorunsuz VPN uyumluluğu; bu daha sonra Registry Access Management gibi zorunlu kılınan ağ politikalarına genişletildi.

Docker Sandboxes'ın altındaki aynı temel

Yazıya göre 2026'da bu microVM teknolojisi yalnızca Docker Desktop'ın değil, aynı zamanda Docker Sandboxes'ın da temelini oluşturuyor; bu ürün, kodlama ajanlarını ve araç takımlarını sıkı izolasyon ve yönetişim altında çalıştırmayı hedefliyor. Önerilen gösteri, Docker Sandboxes'ı kurup sbx run claude komutunu çalıştırmak. Daha uzun tarihsel arka plan için yazı, Communications of the ACM'deki "A Decade of Docker Containers" makalesine işaret ediyor.

Neden önemli

Container'lar ile microVM'ler arasındaki tartışmalar Docker'ı çoğu kez paylaşımlı çekirdek tarafına yerleştirir. Bu anlatıya göre durum, yaklaşık on yıldır Docker'ın amiral gemisi masaüstü ürününü tanımlamıyor: Mac ve Windows'ta container'lar 2016'dan beri, güvenilmez çekirdeğe sahip, özel amaçlı, minimal bir VM içinde çalışıyor. İddia, Linux sunucusundaki klasik Docker Engine'i değil Docker Desktop'ı kapsıyor; ilkinde paylaşımlı çekirdekli container'lar hâlâ norm. Yine de bu tarih, Firecracker tarzı izolasyonu CI, çok kiracılı platformlar veya yapay zekâ kodlama ajanları için değerlendiren bulut uygulayıcıları için yararlı. Docker'ın minimal VMM'ler ve LinuxKit tabanlı guest'lerle edindiği on yıllık üretim deneyimi, bu desenin yeni değil olgun olduğunu gösteriyor ve Docker artık aynı temeli ajan-sandbox pazarına oynuyor.