Пускане на инструменти за управление на контейнери LXC 7.0 и LXD 6.8

Обществото на Linux Containers публикува релиз на инструмента за управление изолирани контейнери LXC 7.0, предоставящ, който оптимизира работата и е подходящ както за стартиране на контейнери с пълна системна среда, близка до виртуалните машини, така и за изпълнение на непривилегировани контейнери на отделни приложения (OCI). LXC е нискоуровневен инструмент, който работи на нивото на отделните контейнери. За централно управление на контейнерите, разположени в клъстър от няколко сървъра, на базата на LXC се развиват системите Incus и LXD. Версията LXC 7.0 е класирана като версия с дългосрочна поддръжка, чийто актуализации се предлагат в продължение на 5 години (до 2031 година). Кодът на LXC е написан на C и се разпространява под лиценз GPLv2.

В състава на LXC влиза библиотеката liblxc, набор от утилити (lxc-create, lxc-start, lxc-stop, lxc-ls и т.н.), шаблони за изграждане на контейнери и набор от биндинги за различни програмни езици. Изолацията се осъществява чрез стандартните механизми на ядрото на Linux. За изолация на процесите, мрежовия стек ipc, uts, идентификаторите на потребителите и точките на монтиране се използва механизмът на имената (namespaces). За ограничаване на ресурсите се прилагат cgroups. За понижаване на привилегиите и ограничаване на достъпа се използват възможности на ядрото, като профили Apparmor и SELinux, политики Seccomp, Chroots (pivot_root) и capabilities.

Основни промени:

• Реализирана е изолация на процеса на мониторинг с помощта на механизма Landlock, което позволява на непривилегированите програми да отменят ненужните права за работа, доброволно ограничават достъпа си до системата в името на повишената сигурност. Landlock е внедрен за ограничаване на обработчиците на API за мониторинг, което позволява работа само с контейнера и забранява достъпа до файлове извън него. Защитата се прилага при създаването на landlock-monitor.
• Конфигурацията на обработчиците (hook) и контейнерите (runtime) е разделена. Добавени са нови настройки lxc.environment.hooks и lxc.environment.runtime, чрез които може да се задават променливи на средата само за контейнерите, без да се предават на hook-обработчиците, и обратно.
• Поддръжката на cgroup v1 е прекратена, както и на ядрото на Linux, което не поддържа PIDFD и новия API за управление на монтиране.
• Устранена уязвимост (CVE-2026-39402), позволяваща заобикаляне на авторизацията и постигане на изтриване на OVS портов (OpenVswitch) чрез манипулация с командата «lxc-user-nic delete». Уязвимостта позволява на непривилегирован потребител да изключи мрежовите интерфейси за контейнери, стартирани от други потребители.

Освен това, компанията Canonical публикува нова версия на системата за управление на контейнери LXD 6.8. LXD предоставя инструменти за централно управление на контейнери и виртуални машини, разположени както на един хост, така и в клъстър от няколко. сървъри. Проектът е реализиран като фонов процес, който приема заявки по мрежата чрез REST API и поддържа различни бекенди за хранилища (дървовидна структура, ZFS, Btrfs, LVM), моментни снимки на състоянието, живо преместване на работещи контейнери от една машина на друга и средства за съхранение на изображения на контейнери. Като runtime за стартиране на контейнери се използва инструментариума LXC.

Сред промените в LXD 6.8:

• Добавена е функцията за свързване на клъстери (Cluster links), която позволява организиране на защитена и аутентифицирана чрез на TLS сертификати взаимодействие между различни LXD клъстери. За управление на свързването е добавена команда «lxc cluster link» и е реализиран съответен раздел в уеб интерфейса.

  

• Добавена е нова роля на клъстерите — «control-plane», с помощта на която могат да бъдат определени узли, участващи в определянето на консенсуса Raft и способни да служат като резервни или мастер узли на базата данни.
• Реализирани са репликатори, които позволяват използването на API Cluster links за репликация на съдържанието на възлите в други клъстери LXD с цел осигуряване на отказоустойчивост.
• Добавена е поддръжка за горещо свързване на GPU устройства CDI (Container Device Interface) към работещи контейнери.
• В хранилищния драйвер Ceph е добавена поддръжка на протокола msgr2 (Ceph messenger v2).
• В уеб интерфейса са добавени инструменти за управление на ролите на възлите в клъстера, модифициран е редакторът на конфигурации във формат YAML, реализирано е стилизирано оформление, подобно на Ubuntu, за вградения терминален емулятор и е подобрен изборът на драйвери за хранилища.

  

  

  

Източник: opennet.ru