نمای کلی اجرایی و اهمیت معماری

انتشار قابلیت "trust-docker-for-the-agents-you-" در دوکر، تحولی بنیادین در نحوه برخورد ابزارهای توسعه‌دهندگان با امنیت، تخصیص منابع و مدیریت چرخه‌حیات ایجنت‌های هوش مصنوعی خودمختار ایجاد می‌کند. از آنجا که تیم‌های مهندسی به‌طور فزاینده‌ای از جریان‌های کاری ایجنت‌محور برای وظایف پیچیده بازنویسی کد، مهاجرت و توسعه مداوم استفاده می‌کنند، مرزهای سنتی اجرای محلی به‌شدت تحت فشار قرار می‌ گیرند. ایجنت‌های خودمختار اغلب نیازمند پنجره‌های اجرایی طولانی‌تر، وابستگی‌های عمیق سیستمی و تعاملات محیطی گسترده‌تری هستند که می‌تواند به‌آسانی سخت‌افزار محلی را تحت‌الشعاع قرار داده و سیستم‌های میزبان را در معرض ارتقای غیرمجاز دسترسی قرار دهد. دوکر با معرفی "سندباکس‌های ابری دوکر" (Docker Cloud Sandboxes)، با پر کردن فاصله بین ارگونومی توسعه‌دهنده محلی و محاسبات ابری مقیاس‌پذیر و تحت مدیریت دوکر، به این چالش‌های سیستمی پاسخ می‌دهد.

از منظر معماری، این انتشار مرز اعتماد میان بارهای کاری خودمختار و زیرساخت میزبان را بازتعریف می‌کند. دوکر با جدا کردن محیط زمان‌اجرای ایجنت از ماشین محلی توسعه‌دهنده و قرار دادن آن در یک میکروماشین مجازی (microVM) ایزوله مجهز به هسته اختصاصی و دیمون دوکر خود، یک مرز اجرایی مستحکم ایجاد می‌کند. این مهار در سطح زیرساخت تضمین می‌کند که حتی اگر ایجنت برای تعاملات غیرمجاز در سطح میزبان تلاش کند (مانند سوءاستفاده از سوکت‌های متصل دوکر)، شعاع خسارت به شدت در محدوده میکروماشین مجازی محدود می‌شود. علاوه بر این، با واگذاری مشخصات متن‌باز Sandbox Kit به بنیاد رایانش ابری بومی (CNCF) تحت مجوز Apache 2.0، دوکر در حال ایجاد یک طرح استاندارد و متن‌باز برای محیط‌های ایجنت‌محور است که حاکمیت در سطح سازمانی، قابلیت بازتولید و حق انتخاب بین پلتفرمی را تضمین می‌کند.

بهبودهای کلیدی و ارگونومی توسعه‌دهنده

دستاورد مهندسی اصلی این انتشار، انتقال یکپارچه بین محیط‌های توسعه محلی و محاسبات میکروماشین مجازی ابری با استفاده از رابط خط فرمان آشنای sbx است. توسعه‌دهندگان می‌توانند یک وظیفه ایجنت‌محور را به‌صورت محلی برای اعتبارسنجی پارامترها راه‌اندازی کنند، وضعیت سیستم فایل بار کاری را متوقف کرده یا به زیرساخت ابری تحت مدیریت دوکر برای کارهای پس‌زمینه پایدار و طولانی‌مدت منتقل کنند و متعاقباً نتایج را برای بررسی نهایی فرا بخوانند. منابع محاسباتی برای این نمونه‌های ابری بر اساس هر ثانیه محاسبه می‌شوند، که تضمین می‌کند عملیات سنگین منابع مانند ساخت‌های مداوم، حل وابستگی‌ها و بازنویسی‌های گسترده کد، ظرفیت RAM و CPU محلی را تخلیه نکنند یا نیازی به روشن ماندن و اتصال دائم لپ‌تاپ‌های فیزیکی نداشته باشند.

مکمل لایه زیرساخت، معرفی مشخصات Docker Sandbox Kit است که در قالب یک تصویر استاندارد Open Container Initiative (OCI) بسته‌بندی شده است. یک کیت، ایجنت هدف، ابزارهای اجرایی ضروری، پیکربندی‌های محیطی و اظهارات صریح دسترسی به منابع مورد نیاز را در یک آرشیو تغییرناپذیر واحد تجمیع می‌کند. تیم‌ها می‌توانند از ابزارهای استاندارد تصویر (ساخت، ارسال، دریافت، اسکن و بررسی کیت‌ها از طریق رجیستری‌های OCI) برای تضمین سازگاری محیط استفاده کنند. تیم‌های امنیتی می‌توانند با بررسی تغییرات مستقیماً در مانیفست کیت، مسیرهای شبکه درخواستی، لایه‌های ذخیره‌سازی و دامنه‌های اعتبارنامه را فوراً ممیزی کنند و به سیاست‌های زمان‌اجرا اجازه دهند تا حالت‌های سخت‌گیرانه رد پیش‌فرض را مستقل از منطق داخلی ایجنت اعمال کنند.

ماتریس مقایسه معماری

تغییرات ساختارشکن و نکات مهم مهاجرت

این نسخه مرزهای زمان‌اجرای سخت‌گیرانه‌ای را معرفی می‌کند که ممکن است رفتار جریان‌های کاری ایجنت‌محور موجود را که تحت فرض‌های قدیمی طراحی شده‌اند، تغییر دهد. به‌طور خاص، ایجنت‌هایی که پیش‌تر برای دسترسی مستقیم به دیمون دوکر میزبان از طریق یک اتصال مشترک /var/run/docker.sock متکی بودند، هنگام مهاجرت به معماری جدید سندباکس میکروVM با رد دسترسی یا خطاهای اتصال مواجه خواهند شد. توسعه‌دهندگان باید بسته‌های استقرار ایجنت خود را بازسازی کنند تا ابزارهای ساخت کانتینر درون کانتینر را به‌جای انتظار برای ارتقای سوکت در سطح میزبان، به‌طور داخلی در محیط سندباکس ایزوله کنند. علاوه بر این، تیم‌ها باید مرزهای اعتبارنامه و شبکه را به‌طور صریح در مانیفست‌های اعلامی جدید Sandbox Kit تعریف کنند، زیرا ارث‌بری ضمنی اعتبارنامه‌های محیطی دیگر به‌طور پیش‌فرض تحت مدل حکمرانی سخت‌گیرانه زمان‌اجرا پشتیبانی نمی‌شود.

راهنمای ارتقای گام‌به‌گام

ارتقای جریان‌های کاری ایجنت‌محور برای بهره‌گیری از سندباکس‌های ابری دوکر و مشخصات کیت جدید، مستلزم انتقال پیکربندی محلی برای استفاده از ابزار sbx و تعریف اظهارات صریح منابع است.

1. نصب و راه‌اندازی CLI سندباکس مطمئن شوید که آخرین به‌روزرسانی‌های دوکر CLI را در اختیار دارید و محیط محلی خود را با استفاده از ابزار سندباکس راه‌اندازی کنید:

   docker extension update
   sbx version
   

2. تعریف مانیفست کیت سندباکس ایجنت یک پیکربندی اعلامی (sandbox-kit.yaml) ایجاد کنید که تصویر ایجنت، نقاط پایانی شبکه مورد نیاز و مجوزهای ابزار محدود شده را مشخص کند:

   schemaVersion: "1.0"
   agent:
     image: "registry.example.com/agents/hermes:latest"
     resources:
       cpu: 4
       memory: "8Gi"
   security:
     network:
       allowlist:
         - "api.github.com"
     deniedActions:
       - "repo:delete"
   

3. استقرار در زیرساخت محلی یا ابری بار کاری ایجنت‌محور خود را به‌صورت محلی با استفاده از sbx بسازید و اجرا کنید، سپس برای اجرای محاسبات طولانی‌مدت، وضعیت اجرا را به‌طور یکپارچه