Пускане на инструменти за управление на контейнери LXC 6.0, Incus 6.0 и LXD 5.21.1

Общността на Linux Containers публикува нова версия на инструментариума за работа с изолирани контейнери LXC 6.0, предоставяйки runtime, който е подходящ както за стартиране на контейнери с пълна система, които са близки до виртуални машини, така и за изпълнение на непривилегировани контейнери на отделни приложения (OCI). LXC принадлежи към нискоуровневите инструменти, работещи на ниво отделни контейнери. За централизиран контрол на контейнерите, разположени в кластер от множество сървъри, се развиват системите Incus и LXD на базата на LXC. Ветката LXC 6.0 е отнесена към изданията с дългосрочна поддръжка, обновленията за които се генерират в продължение на 5 години (до 2029 година). Кодът на LXC е написан на езика C и е разпространяван под лиценза GPLv2.

В състава на LXC влиза библиотеката liblxc, набор от утилити (lxc-create, lxc-start, lxc-stop, lxc-ls и т.н.), шаблони за изграждане на контейнери и набор от биндинги за различни програмни езици. Изолацията се осъществява чрез стандартните механизми на ядрото на Linux. За изолация на процесите, мрежовия стек ipc, uts, идентификаторите на потребителите и точките на монтиране се използва механизмът на имената (namespaces). За ограничаване на ресурсите се прилагат cgroups. За понижаване на привилегиите и ограничаване на достъпа се използват възможности на ядрото, като профили Apparmor и SELinux, политики Seccomp, Chroots (pivot_root) и capabilities.

Основни промени:

• Предоставена възможност за създаване на универсален изпълним файл lxc, който съчетава в една утилита всички команди, преди разпространявани като отделни утилити „lxc-*“. За сборка на обединения изпълним файл е предложена опцията „tools-multicall=true“, при активиране на която всички стари отделни утилити се създават като символични връзки към утилитата lxc. Събирането в един изпълним файл позволява значително намаляване на потреблението на дисково пространство от инструментите, което е актуално за вградени системи.
• В библиотеката liblxc е добавена функция set_timeout, позволяваща да се зададе таймаут за всякакви операции по взаимодействие с LXC monitor.
• В интерфейса на мрежовите мостове lxcbr0 по подразбиране е активирано поддръжка на IPv6 с настройка на адресите от подсетата IPv6 ULA (Unique Local Address).
• В утилитата lxc-usernsexec са добавени опциите „-u“ и „-g“ за промяна на идентификаторите на потребителя и групата (UID и GID).
• В утилитата lxc-checkconfig е осигурено показването на версията само при наличие на команда lxc-start, и е добавено информиране за максимално допустимото количество на всеки тип пространства от имена.
• Добавена е поддръжка на образи на контейнери в OCI формат, в които за компресия на информацията е използвана файловата система Squashfs.
• За взаимодействие с systemd чрез D-Bus е използвана отделна библиотека libdbus-1 вместо libsystemd.
• Спирането на поддръжката на системата за инициализация Upstart.

Същевременно е публикувано издание на проекта Incus, в рамките на който общността на Linux Containers развива fork на системата за управление на контейнери LXD, създаден от старата команда разработчици, някога създала LXD. Кодът на Incus е написан на езика Go и се разпространява под лицензия Apache 2.0. Incus 6.0 първо е позициониран като стабилна версия, за която ще бъде осигурен дълъг цикъл на актуализации (LTS). От промените в Incus 6.0 се откроява възможността за създаване на мрежови интерфейси чрез API bridge.external_interfaces, подобрена поддръжка на автентикация чрез JWT (JSON Web Token), поддръжка на USB и показване на подробна системна информация с командата „incus info —resources“, както и поддръжка на версия LXD 5.21 в утилитата lxd-to-incus.

Incus и LXD предоставят средства за централизирано управление на контейнери и виртуални машини, разположени както на един хост, така и в кластер от няколко. сървъри. Проектът е реализиран под формата на фонов процес, приемащ заявки по мрежата чрез REST API и поддържащ различни бекенди за съхранение (дърво на директории, ZFS, Btrfs, LVM), моментни снимки с отсечка на състоянието, live миграция на работещи контейнери от една машина на друга и средства за съхраняване на образи на контейнери. За стартиране на контейнерите се използва инструментарий LXC. Изолацията се осъществява с помощта на стандартните механизми на ядрото на Linux (имени пространства, cgroups, Apparmor, SELinux, Seccomp).

Общността Linux Containers кураторства разработката на LXD, преди компанията Canonical да реши да трансформира LXD в корпоративен проект. Целта на форка е да предостави управляем независим вариант на проекта LXD, контролиран от компанията Canonical. Създаването на Incus също така предложи възможност за работа по отстраняване на някои концептуални грешки, направени при разработката на LXD, които по-рано не можеше да бъдат коригирани без да се наруши обратната съвместимост.

Компания Canonical публикува нова версия на системата за управление на контейнери LXD 5.21.1. Ветката LXD 5.21 е маркирана като LTS и ще бъде подкрепяна до юни 2029 година. Кодът, добавен в LXD от служителите на Canonical, се предлага под лиценз AGPLv3, но кодът на трети страни, за който Canonical няма имуществени права, остава под Apache 2.0. Във функционалните промени в LXD 5.21.1 може да се отбележи прехвърлянето на snap пакета с LXD на ветки LXC 6.0 и LXCFS 6.0. В API е добавено разширение storage_volumes_all и свързаният с него обработчик /1.0/storage_volumes за извеждане на списък с всички обеми за съхранение. Добавено е разширение instances_files_modify_permissions за модифициране чрез API на правата за достъп до съществуващи файлове.

Достъпен е релиз на виртуалната файловата система LXCFS 6.0, използвана за симулиране в контейнери на псевдо-фС /proc и /sys, както и за виртуализирано представяне на cgroupfs за дистрибуции без поддръжка на пространства от имена cgroup. В новата версия е добавена опция „—enable-cgroup“, позволяваща управление на включването на вградената функционалност за създаване на виртуално дърво cgroupfs за контейнери, използвайки cgroupv1 (в момента повечето дистрибуции поддържат предоставените от ядрото пространства от имена за cgroup, така че включването по подразбиране на вградена алтернативна реализация изгуби смисъл и вече е опционално). Освен това, в LXCFS 6.0 е прекратена филтрацията на CPU при създаване на файла /sys/devices/system/cpu, в зависимост от състоянието online/offline.

Източник: opennet.ru