Komunita Linux Containers vydala novou verzi nástroje pro správu izolovaných kontejnerů LXC 7.0, která poskytuje runtime vhodný jak pro spuštění kontejnerů s plným systémovým prostředím, blízkým virtuálním strojům, tak pro provozování neprivilegovaných kontejnerů jednotlivých aplikací (OCI). LXC patří mezi nízkoúrovňové nástroje, které fungují na úrovni jednotlivých kontejnerů. Pro centralizovanou správu kontejnerů nasazených v klastru složeném z několika serverů se na bázi LXC vyvíjejí systémy Incus a LXD. Větev LXC 7.0 byla zařazena mezi vydání s dlouhodobou podporou, která budou aktualizována po dobu 5 let (do roku 2031). Kód LXC je napsán v jazyce C a šíří se pod licencí GPLv2.
LXC zahrnuje knihovnu liblxc, sadu utilit (lxc-create, lxc-start, lxc-stop, lxc-ls atd.), šablony pro vytváření kontejnerů a sadu bindingů pro různé programovací jazyky. Izolace je prováděna pomocí standardních mechanismů jádra Linux. Pro izolaci procesů, síťového stacku ipc, uts, identifikátorů uživatelů a montovacích bodů se používá mechanismus jmenných prostorů (namespaces). Pro omezení zdrojů se používají cgroups. Pro snížení privilegií a omezení přístupu byly využity možnosti jádra, jako jsou profily Apparmor a SELinux, politiky Seccomp, Chroots (pivot_root) a capabilities.
Hlavní změny:
- Byla implementována izolace monitorovacího procesu pomocí mechanismu Landlock, který umožňuje neprivilegovaným programům odvolat nepotřebná privilegia, a tím dobrovolně omezit svůj další přístup k systému za účelem zvýšení bezpečnosti. Landlock je využíván k omezení API monitorování tak, aby mohlo pracovat pouze s kontejnerem a zakazovalo přístup k souborům mimo něj. Ochrana je aplikována při sestavování landlock-monitor.
- Byla rozdělena konfigurace zpracovatelů (hook) a kontejnerů (runtime). Byly přidány nové nastavení lxc.environment.hooks a lxc.environment.runtime, pomocí kterých lze selektivně nastavovat proměnné prostředí pouze pro kontejnery, aniž by byly předávány zpracovatelům hook, a naopak.
- Byla ukončena podpora cgroup v1, stejně jako jáder Linux, která nepodporují PIDFD a nový API pro správu montování.
- Byla odstraněna zranitelnost (CVE-2026-39402), která dovolovala obejít autorizaci a umožňovala smazání portů OVS (OpenVswitch) manipulací s příkazem „lxc-user-nic delete“. Tato zranitelnost umožňuje neprivilegovanému uživateli odpojit síťové rozhraní pro kontejnery spuštěné jinými uživateli.
Kromě toho společnost Canonical vydala novou verzi systému pro správu kontejnerů LXD 6.8. LXD poskytuje nástroje pro centrální správu kontejnerů a virtuálních strojů nasazených jak na jednom hostiteli, tak v clusterech složených z více. servery. Projekt je realizován jako pozadí procesu, který přijímá požadavky přes síť pomocí REST API a podporuje různé backendy úložišť (strom adresářů, ZFS, Btrfs, LVM), snapshoty se snímky stavu, live migraci běžících kontejnerů z jednoho stroje na druhý a prostředky pro ukládání obrazů kontejnerů. Jako runtime pro spuštění kontejnerů se používá nástroj LXC.
Mezi změnami v LXD 6.8:
- Byla přidána funkce propojení clusterů (Cluster links), která umožňuje organizovat zabezpečenou a autentizovanou pomocí TLS certifikátů interakci mezi různými clustery LXD. Pro správu propojení byla přidána příkaz „lxc cluster link“ a byl realizován odpovídající oddíl v webovém rozhraní.
- Byla přidána nová role uzlů clusteru — „control-plane“, díky které lze vyčlenit uzly, které se podílejí na určení konsensu Raft a schopné fungovat jako záložní nebo master uzly DB.
- Byly implementovány replikátory, které umožňují využívat API Cluster links pro replikaci obsahu uzlů do jiných clusterů LXD s cílem zajistit odolnost proti chybám.
- Byla přidána podpora připojení GPU CDI (Container Device Interface) zařízení za běhu ke spuštěným kontejnerům.
- Do úložišťového ovladače Ceph byla přidána podpora protokolu msgr2 (Ceph messenger v2).
- V webovém rozhraní byly přidány nástroje pro správu rolí uzlů clusteru, modernizován editor konfigurace ve formátu YAML, bylo implementováno stylizované rozhraní vestavěného terminálového emulátoru, zlepšena volba ovladačů úložišť.
Zdroj: opennet.ru
