Firecracker セットアップ（Tier 3）¶

Tier 3 は、ワンショットコマンド、カスタム出力パーサー、MCP stdio サーバー、PTY セッション、 管理 CLI のワーカーを、新規の Firecracker microVM 内で実行します。選択された ToolClad の境界と 公開の FirecrackerRunner は、同じゲストプロトコルと独立したスーパーバイザーを使用します。 VM の起動や VMM の終了が、要求したコマンドの結果の代わりになることはありません。 ホストカーネル、VMM、ゲストイメージ、サービスアカウント、ホストストレージ、運用者の設定は 引き続き信頼境界に含まれます。この分離は、あらゆる脱出経路を防げるという保証ではありません。

Tier 3 はオープンソースランタイムの一部です。ライセンスキーも Enterprise ビルドも必要ありません。symbi-sandbox-guest と symbi-sandbox-supervisor のクレートはこのリポジトリに含まれているため、ゲストイメージを自分でビルドし、監査し、再現できます。

最新の設定手順は 英語版ガイド を参照してください。 対応する symbi-sandbox-guest、カーネル、rootfs と、上限付きのプロトコル 5 を説明しています。 symbi-sandbox-guest はゲストの PID 1 として動作し、ハンドシェイクでプロトコルバージョンと ゲストクレートのソースのフィンガープリントを検証するため、古いイメージや一致しないイメージは コマンドを送る前に拒否されます。ホストの作業ディレクトリは VM に自動転送されません。 ツールの結果はシリアルコンソールから取得しません。

固定の read_file、list_files、grep_files の操作は、ランタイムの上限付きファイルブローカーを 介して、明示的な読み取り専用の source_roots を使用します。これらのルートがゲストのマウントや 自動的なインポートになることはありません。宣言されたコマンド／MCP／PTY のファイルは、 上限付きのバイト転送と、新規のホスト出力向けの別の output_roots の上限を使用します。 分離されたブラウザ実行は引き続き利用できません。管理 CLI のワーカーには、ランタイムが発行した 2 つの権限（ツールブローカーとその実行の推論ブローカー）のみが与えられます。

通常のスーパーバイザーはユーザーアカウントで動作し、ゲストの CPU とメモリを 共有プール に予約します。jailer やホスト cgroup は構成せず、 VMM の追加メモリも予約しません。

オプションの 管理ホストサービス は、承認済みアーティファクト、 jailer、VMM ごとの専用 ID、ホスト cgroup、VMM の追加分を含むメモリ予約を提供します。 systemd がサービスとクリーンアップを監督します。service_uid = 0 はこのサービスを必須とし、 利用できない場合にローカルの代替プロセスを起動しません。Docker/gVisor の容量は別に割り当てる必要があります。 ネットワーク宛先のブローカーは提供されません。

ビルド、対象を絞ったテスト、Docker の回帰 E2E は成功しています。 KVM、サービス障害、watchdog を含む特権ホスト E2E は未完了です。 init と doctor は前提条件を確認しますが、カーネル、イメージ、ヘルパー、ホストが そろって動作することを確かめるには、実際にコマンドを試行する必要があります。 このプロファイルを検証済みとするには、配備先ホストでの試験が必要です。 ホストサービスの手順 に構築と試験のコマンドがあります。