Трети прототип на платформата ALP, която ще замени SUSE Linux Enterprise

Компания SUSE опубликовала третий прототип платформы ALP «Piz Bernina» (Adaptable Linux Platform), позиционируемой как продолжение развития дистрибутива SUSE Linux Enterprise. Ключевым отличием ALP является разделение базовой основы дистрибутива на две части: урезанную «host OS» для работы поверх оборудования и слой для поддержки приложений, ориентированный на запуск в контейнерах и виртуальных машинах. ALP изначально развивается с использованием открытого процесса разработки, при котором промежуточные сборки и результаты тестирования публично доступны всем желающим.

Третий прототип включает в себя две отдельные ветки, которые в текущем виде близки по начинке, но в будущем будут развиваться в направлении разных областей применения и будут отличаться предоставляемыми сервисами. Для тестирования доступна ветка Bedrock, ориентированная на использование в серверных системах, и ветка Micro, рассчитанная для построения облачных систем (cloud-native) и запуска микросервисов. Готовые сборки подготовлены для архитектуры x86_64 (Bedrock, Micro). Дополнительно доступны сборочные сценарии (Bedrock, Micro) для архитектур Aarch64, PPC64le и s390x.

Архитектурата на ALP е основана на развитието на среда „host OS“, минимално необходима за поддръжка и управление на оборудването. Всички приложения и компоненти на потребителското пространство се предлагат да бъдат стартирани не в смесена среда, а в отделни контейнери или в виртуални машини, изпълнявани над „host OS“ и изолирани един от друг. Тази организация ще позволи на потребителите да се фокусират върху приложенията и да абстрахират работните процеси, отделяйки ги от нискоуровневата система и оборудването.

За основа на „host OS“ се използва продуктът SLE Micro, основан на концепциите на проекта MicroOS. За централно управление се предлагат системи за управление на конфигурацията Salt (предустановена) и Ansible (опция). За стартиране на изолирани контейнери са достъпни инструментите Podman и K3s (Kubernetes). Сред системните компоненти, изнесени в контейнери, са yast2, podman, k3s, cockpit, GDM (GNOME Display Manager) и KVM.

От особеностите на системната среда се споменава използването по подразбиране на дисково криптиране (FDE, Full Disk Encryption) с възможност за съхранение на ключове в TPM. Кореновият дял се монтира в режим само за четене и не се променя по време на работа. В средата се използва механизъм за атомарно инсталиране на актуализации. В отличие от атомарните актуализации, основани на ostree и snap, които се използват в Fedora и Ubuntu, в ALP вместо изграждане на отделни атомарни образи и внедряване на допълнителна инфраструктура за доставка се прилага стандартният пакетен мениджър и механизъм за снимки в файлова система Btrfs.

Предлага се настраиваем режим за автоматична инсталация на актуализации (например, може да се включи автоинсталация само на поправки на критични уязвимости или да се върне към ръчно потвърждение на инсталацията на актуализации). За обновяване на ядрото на Linux без рестарт и прекратяване на работата се поддържат live патчи. За поддържане на живучестта на системата (self-healing) се извършва фиксиране на последното стабилно състояние с помощта на снимки на Btrfs (в случай на откриване на аномалии след прилагане на актуализации или промяна на настройки, системата автоматично се връща в предишното състояние).

В платформата се използва многостепенен софтуерен стек - благодарение на контейнерите могат да се използват различни версии на инструменти и приложения едновременно. Например, могат да се стартират приложения, които използват различни версии на Python, Java и Node.js в зависимостите, разделяйки несъвместимите зависимости. Основните зависимости се предоставят под формата на пакети BCI (Base Container Images). Потребителят може да създава, актуализира и изтрива софтуерни стекове, без да засегне другите среди.

Для установки применяется инсталлятор D-Installer, в котором пользовательский интерфейс отделён от внутренних компонентов YaST и имеется возможность использования различных фронтэндов, в том числе фронтэнда для управления установкой через web-интерфейс. Поддерживается выполнение клиентов YaST (bootloader, iSCSIClient, Kdump, firewall и т.п.) в отдельных контейнерах.

Основные изменения в третьем прототипе ALP:

• Предоставление заслуживающего доверия окружения (Trusted Execution Environment) для конфиденциальных вычислений, позволяющее безопасно обрабатывать данные с использованием изоляции, шифрования и виртуални машини.
• Применение аппаратной и runtime аттестации для проверки целостности выполняемых задач.
• Базис для поддержки конфиденциальных виртуальных машин (CVM, Confidential Virtual Machine).
• Интеграция поддержи платформы NeuVector для проверки безопасности контейнеров, определения наличия уязвимых компонентов и выявления вредоносной активности.
• Поддержка архитектуры s390x в дополнение к x86_64 и aarch64.
• Возможность включения на этапе инсталляции полнодискового шифрования (FDE, Full Disk Encryption) с хранением ключей в TPMv2 и без необходимости ввода парольной фразы во время первой загрузки. Эквивалентная поддержка как шифрования обычных разделов, так и разделов LVM (Logical Volume Manager).

Източник: opennet.ru