# AWS запустила Nitro Sandboxes: отдельная VM на каждый под EKS и задачу ECS без доплаты

- Опубликовано: 2026-11-10 15:07 UTC
- Раздел: Цифра и вычисления › Безопасность данных
- Теги: AWS Nitro Sandboxes, VM с аппаратной изоляцией, изоляция подов EKS, изоляция задач ECS, Nitro Hypervisor, Kubernetes 1.36, многоарендные контейнеры, конфиденциальный режим и аттестация, Firecracker, класс isolated-sandbox
- Адрес: https://realtech.media/ru/news/rt-fcb25232ee41fe660015d14f_aws_zapustila_nitro/

**AWS 9 ноября 2026 года открыла Nitro Sandboxes для всех: каждый под EKS, задача ECS или лёгкая VM на EC2 может получить свою VM с аппаратной изоляцией. Доплаты сверх EC2 нет.**

![AWS launches Nitro Sandboxes: a separate hardware-isolated VM per EKS pod and ECS task at no extra fee](https://realtech.media/media/2026/11/e437e8b64f72faf3.webp)
*shattered.io*

По данным shattered.io, AWS объявила о Nitro Sandboxes 9 ноября 2026 года, а 10 ноября обновила пост о запуске. Каждый под Amazon EKS, каждая задача Amazon ECS и каждая лёгкая виртуальная машина Amazon EC2 может получить собственную VM с аппаратной изоляцией. AWS описывает функцию как общедоступную с первого дня, без отметки о предварительном доступе и без листа ожидания, и сообщает, что она работает во всех коммерческих регионах на большинстве инстансов на базе Nitro. [1]

Каждая песочница — это лёгкая VM под управлением Nitro Hypervisor со своей операционной системой и ядром. Граница между соседями обеспечивается аппаратно, а не пространствами имён Linux. AWS не берёт дополнительной платы за функцию; клиенты платят за мощности EC2, на которых всё работает. [1]

## Как это работает в EKS, ECS и EC2

В EKS под включает изоляцию через класс среды выполнения Kubernetes isolated-sandbox. В EKS Auto Mode AWS по умолчанию включает такие классы и по запросу создаёт узлы с поддержкой песочниц, поэтому включение изоляции сводится к одной строке в спецификации пода. Реализация для EKS требует Kubernetes 1.36 или новее. [1]

AWS сообщает, что Pod Identity, плагин VPC CNI, EBS, EFS, S3 и CloudWatch продолжают работать внутри песочницы, а существующие образы контейнеров менять не нужно. Полная матрица совместимости пока не опубликована.

AWS описывает два режима для EKS. Изолированный режим даёт аппаратную границу VM. Конфиденциальный режим необязателен и добавляет шифрование памяти и криптографическую аттестацию. AWS не сообщила, сколько дополнительных затрат или задержки запуска он вносит.

Для ECS AWS описывает включение функции как изменение в одну строку, после чего каждая задача работает в собственной лёгкой VM. В материалах о запуске нет требований к версии ECS и отдельной цены для ECS. В EC2 клиенты запускают лёгкие VM напрямую и сами выбирают AMI, уровень оркестрации и монитор виртуальных машин. AWS сообщает, что Amazon Linux и Firecracker поддерживаются нативно с момента запуска. [1]

## Зачем отдельное ядро

Обычный контейнер делит ядро хоста со всеми остальными контейнерами на узле. В песочнице выход на уровне ядра оказывается внутри VM, а не на хосте. AWS предлагает функцию для многоарендных контейнеров и для недоверенной автоматизации или агентов, которые выполняют непроверенный код. [1]

Nitro Sandboxes не связана с AWS Nitro Enclaves — более старой возможностью создавать изолированную среду вычислений внутри инстанса EC2. Её не переименовывали и не заменяли. Amazon Linux 2 достиг конца жизненного цикла 30 июня 2026 года, и примечания AWS к релизам рекомендуют переходить на Amazon Linux 2023.

## Источники

1. [shattered.io](https://shattered.io/aws-nitro-sandboxes-eks-pods-ecs-tasks-no-extra-charge-2026)

---

Источник: RealTech, realtech.media — https://realtech.media/ru/news/rt-fcb25232ee41fe660015d14f_aws_zapustila_nitro/