[MicroVM] Firecracker를 활용한 고립형 샌드박스 구축 가이드

# KVM 권한 확인
ls -la /dev/kvm
# 그룹에 추가 (권한이 없는 경우)
sudo usermod -aG kvm $USER

cd /tmp
curl -L -o firecracker-v1.9.1 https://github.com/firecracker-microvm/firecracker/releases/download/v1.9.1/firecracker-v1.9.1-x86_64
chmod +x firecracker-v1.9.1
mv firecracker-v1.9.1 firecracker

# 작업 디렉토리 생성
mkdir -p fc-demo
cd fc-demo

# Ubuntu 22.04 루트 파일시스템 다운로드
wget https://cloud-images.ubuntu.com/releases/22.04/release/ubuntu-22.04-server-cloudimg-amd64-root.tar.xz

# 이미지 변환 (raw 형식)
xz -d ubuntu-22.04-server-cloudimg-amd64-root.tar.xz

[dependencies]
serde = { version = "1.0", features = ["derive"] }
serde_json = "1.0"
reqwest = { version = "0.12", features = ["blocking"] }

use std::fs::{self, File};
use std::io::Write;
use std::process::{Command, Stdio};
use serde::Serialize;

// Firecracker 설정 구조체
#[derive(Serialize)]
struct BootSource {
    kernel_image_path: String,
    boot_args: String,
}

#[derive(Serialize)]
struct Drive {
    drive_id: String,
    path_on_host: String,
    is_root_device: bool,
    is_read_only: bool,
}

#[derive(Serialize)]
struct MachineConfig {
    vcpu_count: u8,
    mem_size_mib: u64,
    ht_enabled: bool,
}

#[derive(Serialize)]
struct NetworkInterface {
    if_id: String,
    guest_mac: String,
    host_dev_name: String,
}

fn main() {
    // 1. 작업 디렉토리 설정
    let vm_id = "my-first-microvm";
    fs::create_dir_all(format!("/tmp/fc-demo/{}", vm_id)).expect("Failed to create vm dir");

    // 2. Firecracker 프로세스 실행 (백그라운드)
    // 실제 환경에서는 데몬으로 관리하거나 API를 통해 소켓을 생성합니다.
    // 여기서는 간단히 API 서버를 소켓으로 실행한다고 가정하고 설정을 전송합니다.
    
    // 주의: 실제 실행하려면 커널 이미지(vmlinux)가 필요합니다. 
    // AWS Firecracker GitHub 릴리즈에서 다운로드 가능합니다.
    let kernel_path = "/tmp/fc-demo/vmlinux"; // 경로 확인 필요
    let rootfs_path = "/tmp/fc-demo/ubuntu-22.04-server-cloudimg-amd64-root.tar";

    // (실제 튜토리얼에서는 네트워크 설정이 복잡하므로 TAP 디바이스 생성 생략)
    // API 설정 생성 예시
    let boot_config = BootSource {
        kernel_image_path: kernel_path.to_string(),
        boot_args: "console=ttyS0 reboot=k panic=1 pci=off".to_string(),
    };

    let drive_config = Drive {
        drive_id: "rootfs".to_string(),
        path_on_host: rootfs_path.to_string(),
        is_root_device: true,
        is_read_only: false,
    };

    // JSON 파일로 설정 저장 (Firecracker는 HTTP API나 JSON 파일 입력을 받음)
    let config_json = serde_json::to_string_pretty(&vec![&boot_config, &drive_config]).unwrap();
    let mut file = File::create(format!("/tmp/fc-demo/{}/vm_config.json", vm_id)).unwrap();
    file.write_all(config_json.as_bytes()).unwrap();

    println!("MicroVM 설정 완료: {}", vm_id);
    println!("Firecracker는 보통 TAP 네트워크와 마운트 설정이 필요합니다.");
    println!("CLI 사용법 예시:");
    println!("./firecracker --api-sock /tmp/fc-demo/{}/api.sock", vm_id);
    println!("이후 curl을 통해 http://localhost/... 로 설정을 전송합니다.");
}

# 1. TAP 네트워크 인터페이스 생성 (호스트와 게스트 연결용)
sudo ip tuntap add tap0 mode tap
sudo ip addr add 169.254.0.1/30 dev tap0
sudo ip link set tap0 up

# 2. Firecracker 실행 (API 소켓 모드)
./firecracker --api-sock /tmp/fc-demo/my-api.sock &

# 3. 부팅 소스 설정 전송
curl --unix-socket /tmp/fc-demo/my-api.sock -i \
     -X PUT 'http://localhost/boot-source' \
     -H 'Accept: application/json' \
     -H 'Content-Type: application/json' \
     -d '{
        "kernel_image_path": "/path/to/vmlinux",
        "boot_args": "console=ttyS0 reboot=k panic=1 pci=off"
      }'

# 4. 마운트 설정 전송
curl --unix-socket /tmp/fc-demo/my-api.sock -i \
     -X PUT 'http://localhost/drives/rootfs' \
     -H 'Accept: application/json' \
     -H 'Content-Type: application/json' \
     -d '{
        "drive_id": "rootfs",
        "path_on_host": "/path/to/rootfs.ext4",
        "is_root_device": true,
        "is_read_only": false
      }'
      
# 5. 인스턴스 시작
curl --unix-socket /tmp/fc-demo/my-api.sock -i \
     -X PUT 'http://localhost/actions' \
     -H 'Accept: application/json' \
     -H 'Content-Type: application/json' \
     -d '{ "action_type": "InstanceStart" }'