边缘容器与轻量运行时：Wasm、gVisor 与 K3s 的资源受限实践

对容器化的影响：
  - 镜像不能大：几百 MB 的基础镜像在弱网上拉取是灾难
  - 运行时不能重：完整 runc + 系统服务进程太多
  - 必须有离线能力：断网时仍能按计划运行与本地恢复

按"隔离强度 × 资源开销"选择：
  最省：Wasm（单个字节码沙箱，几 MB 内存）
  常用：runc + 精简镜像（musl/alpine、distroless）
  更隔离：gVisor（用户态内核，防 syscall 逃逸）
  最重：Kata/微虚机（独立内核，边缘少用）

containerd 通过 Runtime（shim v2）抽象接入不同运行时：
  - runc：默认，direct 模式
  - runsc：gVisor 的 shim（containerd-shim-runsc-v1）
  - Wasm：runwasi（wasm 版 shim，如 containerd-shim-wasmtime）
容器运行时在 CRI 配置里按 runtimeClassName 选择

Wasm 容器特点：
  - 单进程、确定性、启动毫秒级、内存极小（几 MB）
  - 无共享内核依赖：宿主内核版本不影响 Wasm 模块
  - 默认沙箱：无权限模型，天然隔离（除显式导入）
  - 适合：边缘函数、协议网关、设备配置代理、插件系统

# 把 wasm 模块作为 layer 构建成 OCI 镜像
docker build -t registry.example.com/edge-func:v1 -f - . <<'EOF'
FROM scratch
ADD func.wasm /func.wasm
EOF
# 配置 containerd 走 runwasi（Wasm 版 shim）
[plugins."io.containerd.grpc.v1.cri".containerd.runtimes.wasm]
  runtime_type = "io.containerd.runwasi.v1.wasmtime"

# K8s 里按 runtimeClassName 使用 Wasm 运行时
apiVersion: v1
kind: Pod
metadata:
  name: edge-func
spec:
  runtimeClassName: wasmtime
  containers:
    - name: func
      image: registry.example.com/edge-func:v1
      resources: { limits: { memory: 64Mi, cpu: 500m } }

性能：启动约 5-20ms、单模块内存可低至几 MB
限制：
  - 无多进程/fork（单进程模型）
  - 系统调用需通过 WASI 导入（不是所有 syscall 都可用）
  - 不适合需要内核特性（epoll 大规模、文件系统底层）的负载
  - GPU/DPDK 等硬件直通不适合 Wasm

gVisor = 用户态内核：
  应用 syscall → 截获（trap）→ 用户态内核（Sentry）处理
  → 再映射为宿主 syscall（受限集合）
效果：
  - 宿主内核攻击面大幅缩小（应用看不到真实内核接口）
  - 逃逸一个 syscall 不等于逃逸宿主
代价：
  - 每次 syscall 有拦截开销，I/O 密集负载性能下降明显

# Docker 安装 runsc 运行时
# /etc/docker/daemon.json
{ "runtimes": { "runsc": { "path": "/usr/local/bin/runsc" } } }

# 用 runsc 运行容器
docker run --runtime=runsc -it --rm alpine:latest sh
# 验证内核
docker run --runtime=runsc --rm alpine:latest uname -r
# 输出的是 gVisor 内核版本，而非宿主内核

适用：
  - 多租户边缘网关（多个不可信业务共宿一机）
  - 运行第三方/外购二进制（封闭源码，不可信）
  - 合规要求"内核级隔离证据"的场景
不适用：
  - 高性能网络转发（DPDK、XDP）
  - 低延迟 I/O 密集应用（syscall 拦截开销大）
  - 极低资源设备（gVisor 本身要几十 MB 内存）

K3s 对 K8s 的裁剪：
  - 内置 SQLite（默认）替代 etcd，单节点零依赖
  - 内置 traefik、local-path、servicelb 等边缘友好组件
  - 把 kubelet、kube-apiserver、kube-scheduler 打包成单二进制
  - 保留完整 K8s API 兼容（manifest、Helm、Operator 照用）

# 单节点安装 K3s（内存占用约 500MB 内）
curl -sfL https://get.k3s.io | sh -s - --write-kubeconfig-mode 644
kubectl get nodes
# agent 加入
curl -sfL https://get.k3s.io | K3S_URL=https://server:6443 K3S_TOKEN=<token> sh -

边缘集群形态：
  - 单机单节点：设备自带集群（SQLite + 本地存储）
  - 一主多从：区域级边缘（一个小主节点 + 若干工作节点）
  - 高可用：3 个主节点用 etcd 模式（内存更高，谨慎）
与中心集群关系：边缘集群独立自治，中心只做 GitOps/镜像分发

□ 用 --disable=traefik 等裁剪非必要组件省内存
□ SQLite 集群状态存储在本地盘：设备断电要文件系统稳定（只读根 fs 配合 tmpfs）
□ 升级采用"镜像预拉 + 分批滚动"，避免弱网升级失败
□ 边缘节点打 labels/taints，调度只允许边缘适配工作负载

# ARM 边缘设备：静态二进制 + 空镜像构建（或极小的 alpine）
FROM scratch
COPY --from=builder /build/app /app
ENTRYPOINT ["/app"]

FROM alpine:3.20
RUN apk add --no-cache ca-certificates
COPY app /app
ENTRYPOINT ["/app"]

# 构建 ARM64 镜像
docker build --platform linux/arm64 -t registry.example.com/app-arm64:v1 .

# 边缘容器显式声明资源上限，防 OOM 波及整机；CPU 配额直接控功耗
resources:
  requests: { cpu: 100m, memory: 64Mi }
  limits:   { cpu: 500m, memory: 128Mi }

□ 边缘无 swap：内存超限即 OOM Kill，容器要可快速重启（restartPolicy）
□ CPU 配额可限制功耗；GPU/NPU 需设备插件透传（见 GPU 篇）
□ 写满本地盘风险：限制容器可写层、日志轮转、只读根文件系统

□ 静态编译 + scratch：体积最小、无包管理器攻击面
□ 多阶段构建：构建工具不进运行时镜像
□ 避免安装系统包：能静态就不动态
□ 常见边缘镜像对比：alpine(~5MB) / distroless(~2-10MB) / busybox(~1MB)

边缘 OTA 的关键是"弱网可靠 + 可回滚"：
  1. 中心推送新镜像清单（digest 列表）
  2. 边缘侧校验签名与 digest（见镜像签名篇）
  3. 分片拉取（断点续传），校验通过后原子切换
  4. 保留上一版本（金丝雀）用于回滚

# 离线分发：导出镜像 tar 包，携带到设备后本地加载
docker save registry.example.com/app:v1 | gzip > app-v1.tar.gz
# 在边缘设备
docker load < app-v1.tar.gz

# 边缘侧本地仓库（离线时容器从本地取镜像）
docker run -d -p 5000:5000 -v /data/registry:/var/lib/registry registry:2
# 断网时 compose 从本地仓库拉取（镜像地址改写为 localhost:5000/）
docker compose --env-file .env.offline up -d

□ 每次更新保存上一版本镜像（本地磁盘有限，保留最近 1-2 个）
□ 启动健康检查：新版本启动失败自动切回旧版本（watchdog）
□ 分批推进：先小批试点，再全量下发
□ 弱网中断：断点续传 + 校验重试，不整体重拉

边缘监控原则：本地聚合、异步上送、断网缓冲
  - 边缘本地 Prometheus + 节点探针（轻量，如 cAdvisor）
  - 弱网/离线时指标先写本地，恢复后批量上送中心
  - 日志：本地文件 + 定期打包上送，避免实时流式依赖

# 边缘节点容器状态
docker ps; docker stats --no-stream
# 查看容器日志（本地轮转）
docker logs --tail 200 <cid>
# containerd 侧排查（K3s 用 crictl）
crictl ps -a
crictl logs <cid>
# 磁盘/内存压力
df -h /var/lib/docker; free -m