隔離をデフォルトとした Ship and Run ソフトウェア

本 CLI ツールでは、以下のようなことが可能です。

• カスタム Linux バルチャの管理と実行
  ローカル環境においてサブ秒単位の起動時間を実現し、クロスプラットフォーム（macOS、Linux）、および弾力的なメモリ使用量を特徴としています。
• ステートフルなバルチャを単一のファイル（

  .smolmachine

  ）にパッケージ化
  任意の対応するプラットフォームで再hydration （再構成）して実行できます。

インストール

# macOS および Linux 向けインストール
curl -sSL https://smolmachines.com/install.sh | bash

コーディングエージェントの場合——インストールおよびコマンドの一覧を確認するには：

curl -sSL https://smolmachines.com/install.sh | bash && smolvm --help

または、GitHub Releases からダウンロードすることも可能です。

クイックスタート

一時的な VM（終了時にクリーンアップされる）でコマンドを実行する場合：

smolvm machine run --net --image alpine -- sh -c "echo 'Hello world from a microVM' && uname -a"

インタラクティブシェルの場合：

smolvm machine run --net -it --image alpine -- /bin/sh

VM 内部からの操作例：

apk add sl && sl && exit

このツールを活用する場面

信頼できないコードのサンドボックス化

ハードウェア隔離された VM 内で非信頼のプログラムを実行します。ホストファイルシステム、ネットワーク、および認証情報はハイパーバイザー境界によって分離されます。

• デフォルトではネットワークはオフ — 非信頼のコードが「ホームに電話する」ことができません：

  smolvm machine run --image alpine -- ping -c 1 1.1.1.1
  # エラー——ネットワークへのアクセスがありません
  

• エGRESS（外部通信）を制限 — 特定のホストのみを許可できます：

  smolvm machine run --net --image alpine --allow-host registry.npmjs.org -- wget -q -O /dev/null https://registry.npmjs.org
  # 成功——許可されたホスト
  

  smolvm machine run --net --image alpine --allow-host registry.npmjs.org -- wget -q -O /dev/null https://google.com
  # エラー——許可リストに含まれていません
  

ポータブル実行可能ファイルへのパッケージ化

任意のワークロードを自己完結型の実行可能ファイルに変換します。すべての依存関係は事前にバインド済みであり、インストールステップやランタイムでのダウンロードも不要です。起動時間は<200ms です。

smolvm pack create --image python:3.12-alpine -o ./python312
./python312 run -- python3 --version
# Python 3.12.x — 隔離済み、pyenv/venv/conda 不要

デvelopment 向け永続型 VM の作成

作成、停止、再起動が可能です。インストールされたパッケージは再起動後も維持されます。

smolvm machine create --net myvm
smolvm machine start --name myvm
smolvm machine exec --name myvm -- apk add sl
smolvm machine exec --name myvm -it -- /bin/sh
# 内部で sl, ls, uname -a を確認できます。'exit' と入力して脱出してください
smolvm machine stop --name myvm

Git および SSH の使用を、キーを公開せずに実行

ホスト側の SSH エージェントを VM に転送します。秘密鍵はゲスト環境に決して進入せず、ハイパーバイザーがこれを強制します。ホストで SSH エージェントが動作している必要があります（

ssh-add -l

smolvm machine run --ssh-agent --net --image alpine -- sh -c "apk add -q openssh-client && ssh-add -l"
# ホストのキー一覧を表示しますが、VM 内部からは抽出できません

smolvm machine exec --name myvm -- git clone git@github.com:org/private-repo.git

Smolfile を用いた環境宣言

簡易な TOML ファイルで再構成可能な VM 設定を宣言できます。

image = "python:3.12-alpine"
net = true

[network]
allow_hosts = ["api.stripe.com", "db.example.com"]

[dev]
init = ["pip install -r requirements.txt"]
volumes = ["./src:/app"]

[auth]
ssh_agent = true

使用方法：

smolvm machine create myvm -s Smolfile
smolvm machine start --name myvm

その他の例： Python · Node.js · Doom

動作原理

各ワークロードは実質的なハードウェア隔離を受けており、Hypervisor.framework（macOS）または KVM（Linux）上で独自のカーネルを起動します。libkrun VMM とカスタムカーネル（libkrunfw）を組み合わせて単一の

.smolmachine

デフォルト設定：

• 4 コアのプロセッサ（vCPU）、8 GiB のメモリ。
• メモリは virtio balloon を介して弾力的です——ホストはゲストが実際に使用する分のみコミットし、余分なメモリは自動的に回収されます。
• vCPU スレッドはアイドル状態のときハイパーバイザーでスリープするため、過剰プロビジョニングのコストはほぼゼロです。

--cpus

--mem

比較

.smolmachine

プラットフォームサポート

/dev/kvm

/dev/kvm

既知の制限事項

• ネットワーク：オプトイン制（

  machine create

  で

  --net

  を指定）。TCP/UDP のみ対応、ICMP は非対応。
• ボリュームマウント：ディレクトリのみ対応（単一ファイルは不可）。
• macOS：バイナリには Hypervisor.framework エンタイトルメントによる署名が必要です。
• SSH エージェント：ホスト上で SSH エージェントが動作している必要があります（

  SSH_AUTH_SOCK

  を設定する必要があります）。

開発者向け

docs/DEVELOPMENT.md

Apache License 2.0
@binsquare による制作
Twitter · GitHub