Третият прототип на платформата ALP, заместваща SUSE Linux Enterprise

SUSE публикува третия прототип на ALP платформата “Piz Bernina” (Adaptable Linux Platform), позиционирана като продължение на развитието на SUSE Linux Enterprise дистрибуцията. Ключовата разлика между ALP е разделянето на основната дистрибуция на две части: съкратена „хост ОС“ за работа върху хардуер и слой за поддържащи приложения, насочени към работа в контейнери и виртуални машини. ALP първоначално се разработва чрез отворен процес на разработка, в който междинните компилации и резултатите от тестовете са публично достъпни за всички.

Третият прототип включва два отделни клона, които в сегашния си вид са сходни по съдържание, но в бъдеще ще се развиват в посока на различни области на приложение и ще се различават по услугите, които предоставят. Клонът Bedrock, ориентиран към използване в сървърни системи, и клонът Micro, предназначен за изграждане на облачни системи и изпълнение на микроуслуги, са достъпни за тестване. Подготвени са готови сборки за x86_64 архитектура (Bedrock, Micro). Освен това са налични скриптове за сглобяване (Bedrock, Micro) за архитектурите Aarch64, PPC64le и s390x.

Архитектурата на ALP се основава на развитието в „хост ОС“ на средата, която е минимално необходима за поддръжка и управление на оборудването. Предлага се всички приложения и компоненти на потребителското пространство да се изпълняват не в смесена среда, а в отделни контейнери или виртуални машини, работещи върху „хост ОС“ и изолирани една от друга. Тази организация ще позволи на потребителите да се съсредоточат върху приложения и абстрактни работни потоци далеч от основната системна среда и хардуер.

Продуктът SLE Micro, базиран на разработките на проекта MicroOS, се използва като основа за „хост ОС“. За централизирано управление се предлагат системи за управление на конфигурацията Salt (предварително инсталирани) и Ansible (по избор). Налични са инструменти Podman и K3s (Kubernetes) за стартиране на изолирани контейнери. Сред системните компоненти, поставени в контейнери, са yast2, podman, k3s, пилотска кабина, GDM (GNOME Display Manager) и KVM.

Сред характеристиките на системната среда се споменава използването по подразбиране на дисково криптиране (FDE, пълно дисково криптиране) с възможност за съхраняване на ключове в TPM. Основният дял се монтира в режим само за четене и не се променя по време на работа. Средата използва механизъм за инсталиране на атомарна актуализация. За разлика от атомарните актуализации, базирани на ostree и snap, използвани във Fedora и Ubuntu, ALP използва стандартен мениджър на пакети и механизъм за моментни снимки във файловата система Btrfs, вместо да изгражда отделни атомарни изображения и да внедрява допълнителна инфраструктура за доставка.

Има конфигурируем режим за автоматично инсталиране на актуализации (например можете да активирате автоматично инсталиране само на корекции за критични уязвимости или да се върнете към ръчно потвърждаване на инсталирането на актуализации). Поддържат се корекции на живо за актуализиране на ядрото на Linux без рестартиране или спиране на работа. За да се поддържа жизнеспособността на системата (самовъзстановяване), последното стабилно състояние се записва с помощта на моментни снимки на Btrfs (ако се открият аномалии след прилагане на актуализации или промяна на настройките, системата автоматично се прехвърля в предишното състояние).

Платформата използва софтуерен стек с много версии - благодарение на използването на контейнери можете едновременно да използвате различни версии на инструменти и приложения. Например, можете да стартирате приложения, които използват различни версии на Python, Java и Node.js като зависимости, като разделят несъвместимите зависимости. Базовите зависимости се доставят под формата на комплекти BCI (базови изображения на контейнери). Потребителят може да създава, актуализира и изтрива софтуерни стекове, без да засяга други среди.

За инсталация се използва инсталаторът D-Installer, в който потребителският интерфейс е отделен от вътрешните компоненти на YaST и е възможно да се използват различни интерфейси, включително фронтенд за управление на инсталацията през уеб интерфейс. Поддържа се изпълнение на YaST клиенти (bootloader, iSCSIClient, Kdump, защитна стена и др.) в отделни контейнери.

Основни промени в третия прототип на ALP:

• Осигуряване на доверена среда за изпълнение за поверителни изчисления, позволяваща сигурна обработка на данни с помощта на изолация, криптиране и виртуални машини.
• Използване на хардуер и сертифициране по време на изпълнение за проверка на целостта на изпълняваните задачи.
• Основа за поддръжка на поверителни виртуални машини (CVM, Confidential Virtual Machine).
• Интегриране на поддръжка за платформата NeuVector за проверка на сигурността на контейнерите, определяне на наличието на уязвими компоненти и идентифициране на злонамерена дейност.
• Поддръжка за s390x архитектура в допълнение към x86_64 и aarch64.
• Възможността за активиране на криптиране на целия диск (FDE, пълно дисково криптиране) на етапа на инсталиране с ключове, съхранени в TPMv2 и без необходимост от въвеждане на парола по време на първото зареждане. Еквивалентна поддръжка както за криптиране на обикновени дялове, така и за LVM (Logical Volume Manager) дялове.

Източник: opennet.ru