Awesome GitHub RepositoriesBinary Workload Execution

Asterinas 是一个内存安全的操作系统内核，旨在防止数据竞争和内存损坏。它作为一个兼容 Linux-ABI 的内核，能够运行现有的 Linux 二进制文件和容器工作负载，同时提供声明式的操作系统分发模型。 该项目的特色在于充当虚拟机容器宿主机和机密计算客户机操作系统，使其能够在 Intel TDX 等硬件隔离的可信执行环境（TEE）中运行。它通过隔离不安全底层操作实现了最小化的可信计算基（TCB），并将核心内核机制与特定策略实现分离开来。 该系统涵盖了广泛的能力，包括物理和虚拟内存管理、对称多处理（SMP），以及针对各种 CPU 架构的硬件抽象。它还包括对安全容器运行时的支持、一套全面的网络和 Socket 原语，以及用于内核编译和仿真的专用工具链。 该项目支持在 x86-64、RISC-V 64 和 LoongArch 64 平台上进行多架构部署。

OSV 是一个 unikernel 操作系统和云原生执行环境，旨在作为安全微型虚拟机 (microVM) 在 KVM、Firecracker、Xen 和 VMware 等虚拟机管理程序上运行。它是一个与 Linux 二进制兼容的运行时，允许未经修改的 Linux 二进制文件作为安全微型虚拟机执行，而无需重新编译。 该项目通过将应用程序打包成最小化的可启动镜像以及提供虚拟机管理 API 而脱颖而出。此 REST 接口支持远程监控系统健康状况、管理执行跟踪以及控制客户虚拟机状态。 该系统涵盖了广泛的底层功能，包括对称多处理调度、基于通道的网络栈和虚拟设备集成。它包括用于内存泄漏检测、CPU 使用率采样和网络数据包跟踪的全面可观测性工具，以及对各种启动文件系统和持久块存储管理的支持。

crun 是一个低级容器运行时，实现了用于管理隔离进程生命周期的 Open Container Initiative 规范。它提供容器创建、执行和删除的核心机制，通过标准化的生命周期管理确保跨平台兼容性。 该项目通过提供一个共享 C 库脱颖而出，允许将容器运行时操作直接嵌入到其他编译后的应用程序中。它通过专门的处理程序进一步扩展了执行能力，支持在隔离的微型虚拟机（microVM）中部署容器或执行 WebAssembly 工作负载。 该运行时涵盖广泛的底层隔离和资源管理功能。这包括使用命名空间和 seccomp 过滤器进行安全防护，使用 cgroups 强制执行 CPU 和内存限制，以及通过检查点和恢复功能保存与恢复容器执行状态的工具。它还提供用于动态资源更新、挂载管理以及通过嵌入式 Lua 接口进行自动化的接口。

Unikraft is a modular library operating system and unikernel framework designed to compile applications into minimal, bootable virtual machine images. It serves as an OCI-compliant image builder and a cloud-native hypervisor target, enabling the creation of specialized runtimes that include only the specific drivers and libraries required by a single application. The system features a Linux compatibility layer that maps standard API calls and POSIX standards to unikernel libraries, allowing unmodified binaries to run without a full general-purpose kernel. It distinguishes itself by allowing c