Red Hat представи Hummingbird, защитена версия на Fedora в контейнери

Компания Red Hat представи на конференцията Red Hat Summit 2026 проекта Fedora Hummingbird, който предлага нова непрекъснато обновяваема версия на Fedora Linux, оформена като колекция от контейнери. За намаляване на повърхността на атаката контейнерите включват само минимален набор от компоненти, необходими за решаване на конкретни задачи. Версиите на софтуера се актуализират оперативно, по възможност веднага след издаването им от основните проекти. Процесът на инсталиране на актуализации е автоматизиран. Използваният в проекта инструментариум е с отворен код под лицензия MIT.

Образите на контейнерите се публикуват за архитектурите amd64 и arm64. В момента в каталога са предложени 49 варианта на контейнери (с оглед на версиите FIPS и multi-arch — 157), които позволяват разгръщането на работни среди с Python, Go, Node.js, Rust, Ruby, OpenJDK, .NET, PostgreSQL, nginx и други отворени проекти. Образите се формират в съответствие с принципа „Distroless“, т.е. не включват пакетен мениджър и програмен интерпретатор (shell), а съдържат само целеви приложения и необходимите за тях работа компоненти.

95% от пакетите, включени в образите на контейнерите Hummingbird, се събират от репозитория Fedora Rawhide, а останалите 5% се изтеглят и събират директно от репозиториите на основните проекти (upstream). В тези 5% влизат приложения, които отсъстват от Rawhide или имат в Rawhide не най-новите версии. За формирането на Hummingbird, независимо от Fedora, се поддържат собствените RPM-пакети, събирани в отделна инфраструктура от стандартните SPEC-файлове на Fedora, което позволява при необходимост да се добавят специфични за проекта оптимизации и модификации.

Предоставените сборки са съвместими с образите от Docker Hub, Red Hat UBI и други регистри, което улеснява миграцията към Hummingbird на вече съществуващи системи. За разлика от проекта CoreOS, който предоставя минималистични хостови сборки за оркестрация на контейнери, Hummingbird е насочен към разработчици, на които е необходимо одновременно да използват различни версии на runtime (Python 3.11-3.14, Go 1.25-1.26, Node.js 20-25 и т.н.) и да поддържат отделно жизнения цикъл на всяка версия.

В отличие от традиционните контейнери, повечето опции на Hummingbird работят по подразбиране под непривилегирован потребител без root права. Контейнерите поддържат възпроизводимо изграждане и могат да бъдат преработвани от потребителя от предоставения изходен код, за да се увери, че собствените и разпространявани от проекта готови изображения напълно съвпадат. За улесняване на проверката, отделно се предоставят source-контейнери с всичките необходими кодове и изходни RPM-пакети. За осигуряване на сигурност, съдържанието на контейнерите се изгражда в изолирана среда, без достъп до мрежата.

Освен контейнерите за стартиране на крайни приложения, проектът разработва зареждащ хостов образ bootc-os, построен с използване на технологията за зареждащи контейнери и подходящ за инсталиране на диск. Системният образ комбинира компоненти на Hummingbird, пакети с ядрото на Linux от проекта CKI (Continuous Kernel Integration), зареждач и системни услуги от Fedora. Цялата система е оформена под форма на контейнер OCI. Актуализацията на bootc-os се извършва автоматично при всяко рестартиране. За стартирането на контейнерите от средата bootc-os се използват инструментите Podman и Skopeo.

Източник: opennet.ru