MicroVM o contenedor: cómo elegir el aislamiento correcto

Contenedores y microVM no son rivales absolutos. Son fronteras distintas con costos diferentes. La decisión correcta empieza por preguntar qué ejecutaremos, cuánto confiamos en esa carga y cuál sería el impacto de una fuga.

Qué aísla realmente un contenedor

Un contenedor comparte el kernel del host y utiliza namespaces, cgroups y capacidades para separar procesos y recursos. Arranca rápido, ofrece alta densidad y encaja muy bien en servicios controlados por el mismo equipo.

services:
  worker:
    image: example/worker:2.1
    read_only: true
    cap_drop: [ALL]
    security_opt: [no-new-privileges:true]
    mem_limit: 512m
    cpus: 1.0

Estas restricciones importan: usar Docker no convierte automáticamente una carga en segura. Imágenes mínimas, usuario no privilegiado, sistema de archivos de sólo lectura y red limitada reducen superficie de ataque.

Qué añade una microVM

Una microVM introduce una frontera de virtualización y un kernel propio. Tecnologías como Firecracker buscan tiempos de inicio y consumo menores que una máquina virtual tradicional, aunque siguen necesitando imágenes, almacenamiento, red y observabilidad específicos.

La frontera es atractiva cuando se ejecuta código de clientes, tareas generadas dinámicamente o workspaces donde un escape tendría consecuencias graves.

Comparación práctica

No comparo sólo rendimiento. También evalúo acceso al kernel, red saliente, persistencia, tiempo máximo, secretos, observabilidad y capacidad del equipo para responder a incidentes.

Una arquitectura híbrida

En una plataforma como iKode usaría contenedores para API, colas y servicios internos; reservaría microVM para ejecutar proyectos de usuario cuando el nivel de riesgo lo justifique. El plano de control nunca ejecuta código del workspace.

Panel/API → cola de operaciones → gestor de ejecución → contenedor o microVM

Cada entorno recibe identidad, cuota, red y ciclo de vida. Crear, suspender y destruir deben ser operaciones idempotentes.

La mejor elección no es la tecnología más compleja. Es la frontera mínima que reduce el riesgo a un nivel aceptable y que el equipo puede mantener, actualizar, observar y recuperar correctamente.