Společnost SUSE zveřejnila třetí prototyp platformy ALP „Piz Bernina“ (Adaptable Linux Platform), která je prezentována jako pokračování vývoje distribuce SUSE Linux Enterprise. Klíčovým rozdílem ALP je rozdělení základní struktury distribuce na dvě části: zkrácenou „host OS“ k práci přímo na hardware a vrstvu pro podporu aplikací, orientovanou na spuštění v kontejnerech a virtuálních strojích. ALP se původně vyvíjí za použití otevřeného vývojového procesu, ve kterém jsou mezičasy staveb a výsledky testování veřejně dostupné všem zájemcům.
Třetí prototyp zahrnuje dvě samostatné větve, které jsou v současné podobě podobné, ale v budoucnu se budou vyvíjet směrem k různým oblastem použití a budou se lišit poskytovanými službami. Pro testování je dostupná větev Bedrock, orientovaná na použití v serverových systémech, a větev Micro, určená pro výstavbu cloudových systémů (cloud-native) a spuštění mikroslužeb. Hotové sestavení je připraveno pro architekturu x86_64 (Bedrock, Micro). Dále jsou k dispozici skripty pro sestavení (Bedrock, Micro) pro architektury Aarch64, PPC64le a s390x.
Architektura ALP je založena na rozvoji v prostředí „host OS“, které je minimálně potřebné pro podporu a správu hardwaru. Všechny aplikace a komponenty uživatelského prostoru by měly být spuštěny nikoli v smíšeném prostředí, ale v oddělených kontejnerech nebo v virtual machines, prováděných na „host OS“ a izolovaných od sebe. Taková organizace umožní uživatelům zaměřit se na aplikace a abstrahovat pracovní procesy, oddělující je od nízkoúrovňového systémového prostředí a hardwaru.
Jako základ pro „host OS“ je použit produkt SLE Micro, založený na výsledcích projektu MicroOS. Pro centralizovanou správu se nabízejí systémy pro správu konfigurace Salt (předinstalováno) a Ansible (volba). Pro spouštění izolovaných kontejnerů jsou k dispozici nástroje Podman a K3s (Kubernetes). Mezi systémové komponenty, které byly přesunuty do kontejnerů, jsou yast2, podman, k3s, cockpit, GDM (GNOME Display Manager) a KVM.
Mezi charakteristikami systémového prostředí se uvádí výchozí použití šifrování disku (FDE, Full Disk Encryption) s možností ukládání klíčů v TPM. Kořenová partition je připojena v režimu pouze pro čtení a během provozu se nemění. V prostředí se používá mechanismus atomárních instalací aktualizací. Na rozdíl od atomárních aktualizací založených na ostree a snap, které se používají ve Fedoře a Ubuntu, v ALP namísto budování jednotlivých atomárních obrazů a nasazení další infrastruktury pro dodání se používá standardní správce balíčků a mechanismus snapshotů v systému Btrfs.
Je zajištěn konfigurovatelný režim automatické instalace aktualizací (například je možné povolit automatickou instalaci pouze oprav kritických zranitelností nebo se vrátit k ručnímu potvrzení instalace aktualizací). Pro aktualizaci jádra Linux bez restartu a přerušení provozu jsou podporovány live patche. Pro udržení odolnosti systému (self-healing) se provádí záznam posledního stabilního stavu pomocí snapshotů Btrfs (v případě zjištění anomálií po aplikaci aktualizací nebo změnách nastavení se systém automaticky přepne do předchozího stavu).
Na platformě se používá víceverzový softwarový stack - díky použití kontejnerů je možné současně používat různé verze nástrojů a aplikací. Například je možné spustit aplikace, které používají v závislostech různé verze Python, Java a Node.js, a oddělit tak nekompatibilní mezi sebou závislosti. Základní závislosti jsou dodávány ve formě sad BCI (Base Container Images). Uživatel může vytvářet, aktualizovat a odstraňovat softwarové stacky, aniž by zasahoval do dalších prostředí.
Pro instalaci se používá instalátor D-Installer, ve kterém je uživatelské rozhraní odděleno od vnitřních komponent YaST a existuje možnost použití různých frontendů, včetně frontendu pro správu instalace prostřednictvím webového rozhraní. Podporuje se provádění klientů YaST (bootloader, iSCSIClient, Kdump, firewall atd.) v samostatných kontejnerech.
Hlavní změny ve třetím prototypu ALP:
- Poskytování důvěryhodného prostředí (Trusted Execution Environment) pro důvěrné výpočty, které umožňuje bezpečné zpracování dat pomocí izolace a šifrování a virtuálních strojů.
- Aplikace hardwarové a runtime verifikace pro kontrolu integrity vykonávaných úloh.
- Základ pro podporu důvěrných virtuálních strojů (CVM, Confidential Virtual Machine).
- Integrace podpory platformy NeuVector pro kontrolu bezpečnosti kontejnerů, identifikaci zranitelných komponentů a odhalování škodlivé aktivity.
- Podpora architektury s390x vedle x86_64 a aarch64.
- Možnost zahrnout během instalace plné šifrování disku (FDE, Full Disk Encryption) se ukládáním klíčů v TPMv2 a bez nutnosti zadávat heslovou frázi během prvního spuštění. Ekvivalentní podpora jak pro šifrování běžných oddílů, tak oddílů LVM (Logical Volume Manager).
Zdroj: opennet.ru
