Компанията Canonical публикува версия на инструмента за управление на изолирани контейнери LXC 5.0, предоставящ runtime, подходящ за стартиране на контейнери с пълна системна среда, близка до виртуални машини, както и за изпълнение на непривилегировани контейнери на отделни приложения (OCI). LXC е нискоуровневен инструментариум, работещ на ниво отделни контейнери. За централизиран контрол върху контейнери, развърнати в клъстър от няколко сървъра, се разработва системата LXD на базата на LXC. Ветката LXC 5.0 се отнася към версиите с дългосрочна поддръжка, за които актуализации се изготвят в продължение на 5 години. Кодът на LXC е написан на езика C и се разпространява под лицензия GPLv2.
В състава на LXC влиза библиотеката liblxc, набор от утилити (lxc-create, lxc-start, lxc-stop, lxc-ls и др.), шаблони за изграждане на контейнери и набор от биндинги за различни програмни езици. Изолацията се осъществява чрез вградените механизми на ядрото на Linux. За изолация на процеси, мрежов стек ipc, uts, идентификатори на потребители и точки на монтиране се използва механизма на пространства от имена (namespaces). За ограничаване на ресурсите се използват cgroups. За понижаване на привилегиите и ограничаване на достъпа се задействат възможности на ядрото, като профили Apparmor и SELinux, политики Seccomp, Chroots (pivot_root) и capabilities.
Основни промени:
- Преходът от autotools към системата за сглобяване Meson беше осъществен, която също се използва за сглобяване на проекти като X.Org Server, Mesa, Lighttpd, systemd, GStreamer, Wayland, GNOME и GTK.
- Добавени са нови опции за конфигуриране на cgroup — lxc.cgroup.dir.container, lxc.cgroup.dir.monitor, lxc.cgroup.dir.monitor.pivot и lxc.cgroup.dir.container.inner, които позволяват явно определяне на пътищата на cgroup за контейнера, процеса на мониторинг и вложените йерархии на cgroup.
- Добавена е поддръжка на пространства от имена за време (time namespaces), което позволява на контейнера да използва собственото си време, различно от системното, чрез свързване на отделно състояние на системните часовници. За настройка са предложени опции lxc.time.offset.boot и lxc.time.offset.monotonic, които позволяват определяне на разлика спрямо основните системни часовници.
- За виртуалните ethernet адаптери (Veth) е реализирана поддръжка на VLAN. За управление на VLAN са предложени опции: veth.vlan.id за задаване на основния VLAN и veth.vlan.tagged.id за свързване на допълнителни етикетирани VLAN.
- Добавена е възможността за конфигуриране на размера на опашките за приемане и предаване на данни за виртуалните ethernet адаптери с новите опции veth.n_rxqueues и veth.n_txqueues.
Източник: opennet.ru
