Издание на системата за управление на контейнери LXC 5.0

Компанията Canonical публикува версия на инструмента за работа с изолирани контейнери LXC 5.0, предоставяща runtime, подходящ както за стартиране на контейнери с пълна системна среда, близка до виртуалните машини, така и за изпълнение на непривилегировани контейнери на отделни приложения (OCI). LXC принадлежи към нискоуровневите инструменти, работещи на ниво отделни контейнери. За централизирането на управлението на контейнерите, разположени в клъстер от няколко сървъра, на базата на LXC се разработва системата LXD. Клонът LXC 5.0 е класифициран като версия с дългосрочна поддръжка, за която обновленията се предоставят в продължение на 5 години. Кодът на LXC е написан на езика Си и е разпространяван под лицензия GPLv2.

В състава на LXC влиза библиотеката liblxc, набор от утилити (lxc-create, lxc-start, lxc-stop, lxc-ls и т.н.), шаблони за изграждане на контейнери и набор от биндинги за различни програмни езици. Изолацията се осъществява чрез стандартните механизми на ядрото на Linux. За изолация на процесите, мрежовия стек ipc, uts, идентификаторите на потребителите и точките на монтиране се използва механизмът на имената (namespaces). За ограничаване на ресурсите се прилагат cgroups. За понижаване на привилегиите и ограничаване на достъпа се използват възможности на ядрото, като профили Apparmor и SELinux, политики Seccomp, Chroots (pivot_root) и capabilities.

Основни промени:

• Направен е преход от autotools към системата за компилация Meson, която също се използва за компилация на проекти като X.Org Server, Mesa, Lighttpd, systemd, GStreamer, Wayland, GNOME и GTK.
• Добавени са нови опции за настройка на cgroup — lxc.cgroup.dir.container, lxc.cgroup.dir.monitor, lxc.cgroup.dir.monitor.pivot и lxc.cgroup.dir.container.inner, които позволяват явно да се определят пътищата на cgroup за контейнера, процеса на мониторинг и вложените иерархии на cgroup.
• Добавена е поддръжка за пространство на имената за времето (time namespaces), позволяваща свързването на отделно състояние на системните часовници към контейнера, което дава възможност за използване на собствено време, различно от системното. За настройки са предложени опциите lxc.time.offset.boot и lxc.time.offset.monotonic, които позволяват да се определи за контейнера отклонение спрямо основните системни часовници.
• За виртуалните ethernet адаптери (Veth) е реализирана поддръжка на VLAN. За управление на VLAN са предложени опции: veth.vlan.id за задаване на основния VLAN и veth.vlan.tagged.id за свързване на допълнителни тагнати VLAN.
• За виртуалните ethernet адаптери е добавена възможност за настройка на размера на опашките за прием и предаване чрез новите опции veth.n_rxqueues и veth.n_txqueues.

Източник: opennet.ru