Intel FPGA编程CRI钩子（Kubernetes）

镜像概述和主要用途

Intel FPGA编程CRI钩子（Container Runtime Interface Hook）是Intel官方提供的容器运行时钩子工具，专为Kubernetes集群设计，用于实现FPGA（现场可编程门阵列）设备的动态编程与资源管理。该镜像通过与Kubernetes CRI（容器运行时接口）集成，在容器启动阶段自动完成FPGA设备的比特流加载、资源配置及访问控制，确保容器能够无缝使用FPGA加速资源。

该镜像需与Intel FPGA设备插件（Intel FPGA Device Plugin for Kubernetes）协同工作，共同构成Kubernetes集群中FPGA资源管理的完整解决方案。更多信息请参见Intel设备插件GitHub仓库。

核心功能和特性

• Kubernetes CRI兼容：遵循Kubernetes CRI规范，支持主流容器运行时（如containerd 1.6+、CRI-O 1.24+）。
• FPGA编程管理：支持动态加载FPGA比特流（Bitstream），实现设备功能重配置。
• 资源隔离与分配：与Kubernetes资源管理框架集成，确保多容器安全共享FPGA资源。
• 设备插件协同：通过Unix域套接字与Intel FPGA设备插件通信，获取设备拓扑及状态信息。
• 轻量级设计：最小化运行时开销，适合生产环境大规模部署。
• 可配置性：支持通过环境变量自定义编程参数（如比特流路径、超时时间等）。

使用场景和适用范围

典型使用场景

• FPGA加速应用部署：在Kubernetes集群中运行FPGA加速的AI推理、视频转码、高性能计算等应用。
• 动态资源复用：根据应用需求加载不同功能的FPGA比特流，实现设备多用途复用。
• 云原生加速：边缘或云环境中通过Kubernetes编排FPGA加速任务，提升计算效率。

适用范围

• Kubernetes版本：1.24及以上
• 容器运行时：containerd 1.6+、CRI-O 1.24+
• FPGA设备：Intel FPGA系列（如Arria 10、Stratix 10、Agilex）
• 依赖组件：需预先部署Intel FPGA设备插件（v0.25+）及OPAE驱动

使用方法和配置说明

前提条件

1. Kubernetes集群（1.24+）正常运行
2. 容器运行时（containerd/CRI-O）已安装并启用CRI钩子支持
3. Intel FPGA设备插件已部署（参考官方部署文档）
4. FPGA设备已物理连接至节点，且OPAE驱动正常加载

镜像获取

通过Docker拉取官方镜像（具体标签请参考GitHub仓库最新版本）：

docker pull intel/intel-fpga-cri-hook:latest

配置参数

该镜像通过环境变量配置，主要参数如下：

部署示例

Docker Run命令示例（节点级部署）

docker run -d \
  --name fpga-cri-hook \
  --restart=always \
  --privileged \
  -v /var/lib/kubelet/device-plugins:/var/lib/kubelet/device-plugins \
  -v /etc/containerd/hooks.d:/etc/containerd/hooks.d \
  -v /opt/fpga/bitstreams:/opt/fpga/bitstreams \
  -e FPGA_DEVICE_PLUGIN_SOCKET=/var/lib/kubelet/device-plugins/fpga.sock \
  -e BITSTREAM_BASE_PATH=/opt/fpga/bitstreams \
  -e LOG_LEVEL=info \
  intel/intel-fpga-cri-hook:latest

Docker Compose配置示例

version: '3.8'
services:
  fpga-cri-hook:
    image: intel/intel-fpga-cri-hook:latest
    container_name: fpga-cri-hook
    restart: always
    privileged: true
    volumes:
      - /var/lib/kubelet/device-plugins:/var/lib/kubelet/device-plugins
      - /etc/containerd/hooks.d:/etc/containerd/hooks.d
      - /opt/fpga/bitstreams:/opt/fpga/bitstreams
    environment:
      - FPGA_DEVICE_PLUGIN_SOCKET=/var/lib/kubelet/device-plugins/fpga.sock
      - CRI_HOOK_PATH=/etc/containerd/hooks.d/fpga-hook.json
      - BITSTREAM_BASE_PATH=/opt/fpga/bitstreams
      - LOG_LEVEL=info

启动服务：

docker-compose up -d

容器运行时配置（以containerd为例）

1. 编辑containerd配置文件（通常位于/etc/containerd/config.toml）：

[plugins."io.containerd.grpc.v1.cri".containerd.runtimes.runc]
  [plugins."io.containerd.grpc.v1.cri".containerd.runtimes.runc.options]
    SystemdCgroup = true

[plugins."io.containerd.grpc.v1.cri".hooks]
  [plugins."io.containerd.grpc.v1.cri".hooks.prestart]
    path = "/etc/containerd/hooks.d/fpga-hook"

2. 重启containerd服务：

systemctl restart containerd

验证部署

1. 检查CRI钩子容器状态：

docker ps | grep fpga-cri-hook

2. 查看钩子日志（无错误输出即为正常）：

docker logs fpga-cri-hook

3. 部署测试Pod验证FPGA访问： 创建fpga-test-pod.yaml：

apiVersion: v1
kind: Pod
metadata:
  name: fpga-test
spec:
  containers:
  - name: fpga-test-container
    image: ubuntu:22.04
    command: ["sleep", "3600"]
    resources:
      limits:
        intel.com/fpga: 1  # 请求1个FPGA资源（需与设备插件配置匹配）

部署并验证：

kubectl apply -f fpga-test-pod.yaml
kubectl exec -it fpga-test -- bash -c "opae-nic-discovery"  # 需预装OPAE工具

若输出FPGA设备信息，表明CRI钩子部署成功。

注意事项

• 权限要求：容器需--privileged权限或CAP_SYS_ADMIN capability，以访问FPGA设备。
• 版本兼容性：确保CRI钩子与FPGA设备插件版本匹配（建议使用最新稳定版）。
• 比特流管理：BITSTREAM_BASE_PATH目录需预先存放合法比特流文件，且容器有读取权限。
• 日志调试：故障排查时可将LOG_LEVEL设为debug，通过容器日志定位问题。
• 集群部署：生产环境建议通过DaemonSet在所有FPGA节点部署，实现集群级资源管理。