Společnost Canonical vydala nástroj pro správu izolovaných kontejnerů LXC 5.0, který poskytuje runtime vhodný jak pro spouštění kontejnerů s plným systémovým prostředím, podobným virtuálním strojům, tak pro provádění nepř privilegovaných kontejnerů jednotlivých aplikací (OCI). LXC se týká nízkoúrovňových nástrojů, které pracují na úrovni jednotlivých kontejnerů. Pro centralizovanou správu kontejnerů nasazených v clusteru vícero serverů se na základě LXC vyvíjí systém LXD. Větev LXC 5.0 je zařazena mezi vydání s dlouhodobou podporou, aktualizace pro ně se vytvářejí po dobu 5 let. Kód LXC je napsán v jazyce C a je šířen pod licencí GPLv2.
LXC zahrnuje knihovnu liblxc, sadu utilit (lxc-create, lxc-start, lxc-stop, lxc-ls atd.), šablony pro vytváření kontejnerů a sadu bindingů pro různé programovací jazyky. Izolace je prováděna pomocí standardních mechanismů jádra Linux. Pro izolaci procesů, síťového stacku ipc, uts, identifikátorů uživatelů a montovacích bodů se používá mechanismus jmenných prostorů (namespaces). Pro omezení zdrojů se používají cgroups. Pro snížení privilegií a omezení přístupu byly využity možnosti jádra, jako jsou profily Apparmor a SELinux, politiky Seccomp, Chroots (pivot_root) a capabilities.
Hlavní změny:
- Byl proveden přechod z autotools na systém sestavování Meson, který se také používá pro sestavování projektů jako je X.Org Server, Mesa, Lighttpd, systemd, GStreamer, Wayland, GNOME a GTK.
- Byly přidány nové možnosti pro nastavení cgroup — lxc.cgroup.dir.container, lxc.cgroup.dir.monitor, lxc.cgroup.dir.monitor.pivot a lxc.cgroup.dir.container.inner, které umožňují explicitně definovat cesty cgroup pro kontejner, proces monitorování a vnořené hierarchie cgroup.
- Byla přidána podpora časových jmen (time namespaces) pro spojení se stavem systémových hodin v kontejneru, což umožňuje použít v kontejneru svůj vlastní čas, odlišný od systémového. Pro nastavení jsou navrženy možnosti lxc.time.offset.boot a lxc.time.offset.monotonic, které umožňují určit pro kontejner posun vůči hlavním systémovým hodinám.
- Pro virtuální ethernetové adaptéry (Veth) byla implementována podpora VLAN. Pro správu VLAN byly navrženy možnosti: veth.vlan.id pro nastavení primární VLAN a veth.vlan.tagged.id pro přiřazení dalších značkovaných VLAN.
- Pro virtuální ethernetové adaptéry byla přidána možnost nastavení velikosti front příjmu a vysílání pomocí nových možností veth.n_rxqueues a veth.n_txqueues.
Zdroj: opennet.ru
