# Virtualização em nível de sistema operacional

A virtualização em nível de sistema operacional é um paradigma de virtualização de sistema operacional no qual o núcleo permite a existência de múltiplas instâncias isoladas de espaço de usuário, incluindo contêineres (LXC, Solaris Containers, AIX WPARs, HP-UX SRP Containers, Docker, Podman), zonas (Solaris Containers), servidores privados virtuais (OpenVZ), partições, ambientes virtuais (VEs), núcleos virtuais (DragonFly BSD) e jails (FreeBSD jail e chroot). Tais instâncias podem parecer computadores reais do ponto de vista dos programas em execução nelas. Um programa de computador em execução em um sistema operacional comum pode ver todos os recursos (dispositivos conectados, arquivos e pastas, compartilhamentos de rede, poder de CPU, recursos de hardware quantificáveis) daquele computador. Programas em execução dentro de um contêiner podem ver apenas o conteúdo do contêiner e os dispositivos atribuídos ao contêiner.
Em sistemas operacionais do tipo Unix, esse recurso pode ser visto como uma implementação avançada do mecanismo chroot padrão, que altera a pasta raiz aparente para o processo em execução atual e seus filhos. Além dos mecanismos de isolamento, o núcleo geralmente fornece recursos de gerenciamento de recursos para limitar o impacto das atividades de um contêiner em outros contêineres. Os contêineres Linux são todos baseados nos mecanismos de virtualização, isolamento e gerenciamento de recursos fornecidos pelo núcleo Linux, notavelmente cgroups.
Embora a palavra contêiner se refira mais comumente à virtualização em nível de sistema operacional, às vezes é usada para se referir a máquinas virtuais mais completas operando em vários graus de acordo com o sistema operacional host, como os contêineres Hyper-V da Microsoft.

## Operação

Em sistemas operacionais comuns para computadores pessoais, um programa de computador pode ver (mesmo que não consiga acessar) todos os recursos do sistema. Eles incluem:
* Recursos de hardware que podem ser empregados, como a CPU e a conexão de rede;
* Dados que podem ser lidos ou gravados, como arquivos, pastas e compartilhamentos de rede;
* Periféricos conectados com os quais ele pode interagir, como webcam, impressora, scanner ou fax.
O sistema operacional pode permitir ou negar acesso a esses recursos com base em qual programa os solicita e na conta de usuário no contexto em que ele é executado. O sistema operacional também pode ocultar esses recursos, de modo que, quando o programa de computador os enumera, eles não apareçam nos resultados da enumeração. No entanto, do ponto de vista da programação, o programa de computador interagiu com esses recursos e o sistema operacional gerenciou um ato de interação.
Com a virtualização do sistema operacional, ou conteinerização, é possível executar programas dentro de contêineres, aos quais apenas partes desses recursos são alocadas. Um programa que espera ver o computador inteiro, uma vez executado dentro de um contêiner, só pode ver os recursos alocados e acredita que eles são tudo o que está disponível. Vários contêineres podem ser criados em cada sistema operacional, para cada um dos quais um subconjunto dos recursos do computador é alocado. Cada contêiner pode conter qualquer número de programas de computador. Esses programas podem ser executados simultaneamente ou separadamente, e podem até interagir uns com os outros.
A conteinerização tem semelhanças com a virtualização de aplicativos: nesta última, apenas um programa de computador é colocado em um contêiner isolado e o isolamento se aplica apenas ao sistema de arquivos.

## Usos

A virtualização em nível de sistema operacional é comumente usada em ambientes de hospedagem virtual, onde é útil para alocar com segurança recursos de hardware finitos entre um grande número de usuários que não se confiam mutuamente. Os administradores de sistema também podem usá-la para consolidar hardware de servidor movendo serviços em hosts separados para contêineres em um servidor.
Outros cenários típicos incluem separar vários programas para contêineres separados para segurança aprimorada, independência de hardware e recursos de gerenciamento de recursos adicionados. A segurança aprimorada fornecida pelo uso de um mecanismo chroot, no entanto, não é perfeita. Implementações de virtualização em nível de sistema operacional capazes de migração ao vivo também podem ser usadas para balanceamento de carga dinâmico de contêineres entre nós em um cluster.

### Sobrecarga

A virtualização em nível de sistema operacional geralmente impõe menos sobrecarga do que a virtualização completa porque os programas em partições virtuais em nível de sistema operacional usam a interface de chamada de sistema normal do sistema operacional e não precisam ser submetidos à emulação ou ser executados em uma máquina virtual intermediária, como é o caso da virtualização completa (como VMware ESXi, QEMU ou Hyper-V) e paravirtualização (como Xen ou Linux em modo de usuário). Essa forma de virtualização também não requer suporte de hardware para desempenho eficiente.

### Flexibilidade

A virtualização em nível de sistema operacional não é tão flexível quanto outras abordagens de virtualização, pois não pode hospedar um sistema operacional convidado diferente do host, ou um núcleo convidado diferente. Por exemplo, com o Linux, distribuições diferentes são boas, mas outros sistemas operacionais, como o Windows, não podem ser hospedados. Os sistemas operacionais que usam sistemática de entrada variável estão sujeitos a limitações dentro da arquitetura virtualizada. Os métodos de adaptação, incluindo análises de retransmissão de servidor em nuvem, mantêm o ambiente virtual em nível de sistema operacional dentro desses aplicativos.
O Solaris supera parcialmente a limitação descrita acima com seu recurso de zonas de marca, que fornece a capacidade de executar um ambiente dentro de um contêiner que emula uma versão mais antiga do Solaris 8 ou 9 em um host Solaris 10. As zonas de marca Linux (chamadas de zonas de marca "lx") também estão disponíveis em sistemas Solaris baseados em x86, fornecendo um espaço de usuário Linux completo e suporte para a execução de aplicativos Linux; além disso, o Solaris fornece utilitários necessários para instalar as distribuições Linux Red Hat Enterprise Linux 3.x ou CentOS 3.x dentro das zonas "lx". No entanto, em 2010, as zonas de marca Linux foram removidas do Solaris; em 2014, elas foram reintroduzidas no Illumos, que é a ramificação de código aberto do Solaris, com suporte a núcleos Linux de 32 bits.

### Armazenamento

Algumas implementações fornecem mecanismos de cópia durante a gravação (copy-on-write, CoW) em nível de arquivo. (Mais comumente, um sistema de arquivos padrão é compartilhado entre partições, e aquelas partições que alteram os arquivos criam automaticamente suas próprias cópias.) Isso é mais fácil de fazer backup, mais eficiente em termos de espaço e mais simples de armazenar em cache do que os esquemas de cópia durante a gravação em nível de bloco comuns em virtualizadores de sistema inteiro. Os virtualizadores de sistema inteiro, no entanto, podem trabalhar com sistemas de arquivos não nativos e criar e reverter instantâneos de todo o estado do sistema.

## Implementações

| Mecanismo | Sistema operacional | Licença | Ativamente desenvolvido desde ou entre | Recursos | Recursos | Recursos | Recursos | Recursos | Recursos | Recursos | Recursos | Recursos | Recursos |
| Mecanismo | Sistema operacional | Licença | Ativamente desenvolvido desde ou entre | Isolamento do sistema de arquivos | Cópia durante a gravação | Cotas de disco | Limitação de taxa de E/S | Limites de memória | Cotas de CPU | Isolamento de rede | Virtualização aninhada | Ponto de verificação de partição e migração ao vivo | Isolamento de privilégios de root |
| chroot | A maioria dos sistemas operacionais tipo UNIX | Varia de acordo com o sistema operacional | 1982 | Parcial | Não | Não | Não | Não | Não | Não | Sim | Não | Não |
| Docker | Linux, Windows x64 macOS | Licença Apache 2.0 | 2013 | Sim | Sim | Parcial | Sim (desde 1.10) | Sim | Sim | Sim | Sim | Somente em modo experimental com CRIU | Sim (desde 1.10) |
| Linux-VServer (contexto de segurança) | Linux, Windows Server 2016 | GNU GPLv2 | 2001 | Sim | Sim | Sim | Sim | Sim | Sim | Parcial | ? | Não | Parcial |
| lmctfy | Linux | Licença Apache 2.0 | 2013–2015 | Sim | Sim | Sim | Sim | Sim | Sim | Parcial | ? | Não | Parcial |
| LXC | Linux | GNU GPLv2 | 2008 | Sim | Sim | Parcial | Parcial | Sim | Sim | Sim | Sim | Sim | Sim |
| Singularity | Linux | Licença BSD | 2015 | Sim | Sim | Sim | Não | Não | Não | Não | Não | Não | Sim |
| OpenVZ | Linux | GNU GPLv2 | 2005 | Sim | Sim | Sim | Sim | Sim | Sim | Sim | Parcial | Sim | Sim |
| Virtuozzo | Linux, Windows | Trialware | 2000 | Sim | Sim | Sim | Sim | Sim | Sim | Sim | Parcial | Sim | Sim |
| Solaris Containers (Zonas) | illumos (OpenSolaris), Solaris | CDDL, Proprietário | 2004 | Sim | Sim (ZFS) | Sim | Parcial | Sim | Sim | Sim | Parcial | Parcial | Sim |
| FreeBSD jail | FreeBSD, DragonFly BSD | Licença BSD | 2000 | Sim | Sim (ZFS) | Sim | Sim | Sim | Sim | Sim | Sim | Parcial | Sim |
| vkernel | DragonFly BSD | Licença BSD | 2006 | Sim | Sim | — | ? | Sim | Sim | Sim | ? | ? | Sim |
| sysjail | OpenBSD, NetBSD | Licença BSD | 2006–2009 | Sim | Não | Não | Não | Não | Não | Sim | Não | Não | ? |
| WPARs | AIX | Software comercial proprietário | 2007 | Sim | Não | Sim | Sim | Sim | Sim | Sim | Não | Sim | ? |
| iCore Virtual Accounts | Windows XP | Freeware | 2008 | Sim | Não | Sim | Não | Não | Não | Não | ? | Não | ? |
| Sandboxie | Windows | GNU GPLv3 | 2004 | Sim | Sim | Parcial | Não | Não | Não | Parcial | Não | Não | Sim |
| systemd-nspawn | Linux | GNU LGPLv2.1+ | 2010 | Sim | Sim | Sim | Sim | Sim | Sim | Sim | ? | ? | Sim |
| Turbo | Windows | Freemium | 2012 | Sim | Não | Não | Não | Não | Não | Sim | Não | Não | Sim |
| rkt (rocket) | Linux | Licença Apache 2.0 | 2014–2018 | Sim | Sim | Sim | Sim | Sim | Sim | Sim | ? | ? | Sim |
Os contêineres Linux que não estão listados acima incluem:
* LXD, um wrapper alternativo em torno do LXC desenvolvido pela Canonical
* Podman, um substituto avançado e seguro sem root para Kubernetes para Docker com suporte para vários formatos de imagem de contêiner, incluindo imagens Docker e OCI
* Charliecloud, um conjunto de ferramentas de contêiner usadas em sistemas HPC
* Plataforma Kata Containers MicroVM
* O Bottlerocket é um sistema operacional de código aberto baseado em Linux que é desenvolvido especificamente pela Amazon Web Services para executar contêineres em máquinas virtuais ou hosts "bare metal"
* Azure Linux é uma distribuição Linux de código aberto que é desenvolvida especificamente pela Microsoft Azure e semelhante ao Fedora CoreOS