Компания SUSE представи третия прототип на платформата ALP «Piz Bernina» (Adaptable Linux Platform), позиционирана като продължение на развитието на дистрибуцията SUSE Linux Enterprise. Ключовата разлика на ALP е разделянето на базовата структура на дистрибуцията на две части: ограничена «host OS», работеща на оборудването, и слой за поддръжка на приложения, насочен към изпълнение в контейнери и виртуални машини. ALP се развива първоначално с използване на отворен процес на разработка, при който междинните билдове и резултатите от тестовете са публично достъпни за всички желаещи.
Третият прототип включва две отделни клонове, които в текущия си вид близки по съдържание, но в бъдеще ще се развиват в различни области на приложение и ще се различават по предоставяните услуги. За тестване е наличен клонът Bedrock, насочен към използване в сървърни системи, и клонът Micro, предназначен за изграждане на облачни системи (cloud-native) и стартиране на микросервизи. Готовите сборки са подготвени за архитектура x86_64 (Bedrock, Micro). Допълнително са налични сценарии за изграждане (Bedrock, Micro) за архитектури Aarch64, PPC64le и s390x.
Архитектурата ALP е изградена на развитието на средата «host OS», минимално необходима за поддръжка и управление на оборудването. Всички приложения и компоненти на потребителското пространство се предлагат да се стартират не в смесена среда, а в отделни контейнери или в виртуални машини, изпълнявани над «host OS» и изолирани едно от друго. Подобна организация ще позволи на потребителите да се фокусират върху приложенията и да абстрахират работните потоци, отделяйки ги от нискоуровневата системна среда и оборудването.
Като основа за «host OS» е използван продуктът SLE Micro, основан на разработките на проекта MicroOS. За централизирано управление се предлагат системи за управление на конфигурацията Salt (предустановена) и Ansible (опция). За стартиране на изолирани контейнери са налични инструментите Podman и K3s (Kubernetes). Сред системните компоненти, изнесени в контейнери, присъстват yast2, podman, k3s, cockpit, GDM (GNOME Display Manager) и KVM.
От особеностите на системната среда се споменава използването по подразбиране на дисково криптиране (FDE, Full Disk Encryption) с възможност за съхранение на ключове в TPM. Коренният дял се монтира в режим само за четене и не се променя по време на работа. В средата се прилага механизъм за атомарна инсталация на обновления. В отличие от атомарните обновления, базирани на ostree и snap, използвани в Fedora и Ubuntu, в ALP, вместо изграждане на отделни атомарни образи и разгръщане на допълнителна инфраструктура за доставка, се използва стандартният пакетен мениджър и механизмът за моментни снимки в файловата система Btrfs.
Предоставен е настраиваем режим за автоматична инсталация на актуализации (например, можете да активирате автоматично инсталиране само на корекции на критични уязвимости или да се върнете на ръчно потвърждаване на инсталацията на актуализации). За актуализиране на Linux ядрото без рестартиране и спиране на работата се поддържат live-патчи. За поддържане на жизнеността на системата (self-healing) се извършва фиксация на последното стабилно състояние с помощта на Btrfs снимки (в случай на разкриване на аномалии след прилагане на актуализации или промяна на настройки, системата автоматично се прехвърля в предишното състояние).
В платформата се използва многоверсионен софтуерен стек — благодарение на приложението на контейнери може едновременно да се използват различни версии на инструменти и приложения. Например, могат да се стартират приложения, които използват различни версии Python, Java и Node.js в зависимостите си, което позволява разделяне на несъвместими зависимости. Основните зависимости се предоставят под формата на комплекти BCI (Base Container Images). Потребителят може да създава, актуализира и изтрива софтуерни стекове, без да засяга другите среди.
За инсталацията се използва инсталаторът D-Installer, в който потребителският интерфейс е отделен от вътрешните компоненти на YaST и има възможност за използване на различни фронт-ендове, включително фронт-енд за управление на инсталацията през уеб интерфейс. Поддържа се изпълнението на клиенти на YaST (bootloader, iSCSIClient, Kdump, firewall и т.н.) в отделни контейнери.
Основни промени в третия прототип на ALP:
- Предоставяне на доверена среда (Trusted Execution Environment) за конфиденциални изчисления, позволяваща безопасна обработка на данни с използване на изолация, криптиране и на виртуални машини.
- Прилагане на хардуерна и runtime атестация за проверка на целостта на изпълняваните задачи.
- Основата за поддръжка на конфиденциални виртуални машини (CVM, Confidential Virtual Machine).
- Интеграция на поддръжка на платформата NeuVector за проверка на сигурността на контейнери, откриване на уязвими компоненти и разкриване на злонамерена активност.
- Поддръжка на архитектурата s390x в допълнение към x86_64 и aarch64.
- Възможност за активиране на етапа на инсталация на пълно дисково криптиране (FDE, Full Disk Encryption) с съхранение на ключове в TPMv2 и без необходимост от въвеждане на паролна фраза по време на първото зареждане. Еквивалентна поддръжка както за криптиране на обикновени дялове, така и за дялове LVM (Logical Volume Manager).
Източник: opennet.ru
