SUSE har offentliggjort den tredje prototype af ALP "Piz Bernina" (Adaptable Linux Platform), som er positioneret som en fortsættelse af udviklingen af SUSE Linux Enterprise-distributionen. Det vigtigste kendetegn ved ALP er opdelingen af distributionens grundlag i to dele: en reduceret "host OS" til drift på hardware og et lag til applikationsunderstøttelse, der fokuserer på kørsel i containere og virtuelle maskiner. ALP udvikles oprindeligt ved hjælp af en åben udviklingsproces, hvor mellemliggende builds og testresultater er offentligt tilgængelige for alle interesserede.
Den tredje prototype inkluderer to separate grene, som i sin nuværende form er tæt på hinanden, men som i fremtiden vil udvikle sig i retning af forskellige anvendelsesområder og vil variere i de tjenester, der tilbydes. Til test er grenen Bedrock tilgængelig, som er rettet mod brug i serversystemer, og grenen Micro, der er designet til at opbygge cloud-native systemer og køre mikrotjenester. Færdige builds er tilgængelige for x86_64-arkitektur (Bedrock, Micro). Derudover er der build-scripts (Bedrock, Micro) tilgængelige for Aarch64-, PPC64le- og s390x-arkitekturer.
ALP-arkitekturen er baseret på udviklingen af et "host OS" miljø, der minimalt kræves for at understøtte og administrere hardwaren. Alle applikationer og komponenter i brugerrummet anbefales at køre ikke i et blandet miljø, men i separate containere eller virtuelle maskiner, der køres oven på "host OS" og er isoleret fra hinanden. Denne organisation vil tillade brugerne at fokusere på applikationerne og abstrahere arbejdsprocesserne fra det lavniveau systemmiljø og hardware.
Som grundlag for "host OS" anvendes produktet SLE Micro, baseret på erfaringerne fra projektet MicroOS. Til centraliseret administration tilbydes konfigurationsstyringssystemerne Salt (forudinstalleret) og Ansible (valgfrit). Til kørsel af isolerede containere er værktøjerne Podman og K3s (Kubernetes) tilgængelige. Blandt de systemkomponenter, der er flyttet til containere, findes yast2, podman, k3s, cockpit, GDM (GNOME Display Manager) og KVM.
Af funktionerne i systemmiljøet nævnes brugen af disk-kryptering som standard (FDE, Full Disk Encryption) med mulighed for opbevaring af nøgler i TPM. Root-partitionen monteres i skrivebeskyttet tilstand og ændres ikke under drift. I miljøet anvendes mekanismen for atomære opdateringer. I modsætning til atomære opdateringer baseret på ostree og snap, der anvendes i Fedora og Ubuntu, anvender ALP den almindelige pakkehåndtering og mekanismen for snapshots i Btrfs-filsystemet.
Der er en konfigurerbar automatiseret opdateringsmetode (for eksempel kan auto-opdatering kun aktiveres for kritiske sårbarhedsrettelser eller man kan vende tilbage til manuel bekræftelse af installationen af opdateringer). Live-patches understøttes til opdatering af Linux-kernen uden genstart eller nedetid for at opretholde systemets tilgængelighed (self-healing) ved at fastsætte den sidste stabile tilstand ved hjælp af Btrfs snapshots (hvis der opdages afvigelser efter installation af opdateringer eller ændringer i indstillingerne, skifter systemet automatisk tilbage til den tidligere tilstand).
Platformen anvender en flerversions software-stak — takket være brugen af containerne kan forskellige versioner af værktøjer og applikationer benyttes samtidigt. For eksempel kan applikationer, der afhænger af forskellige versioner af Python, Java og Node.js, køres, mens inkompatible afhængigheder adskilles. De grundlæggende afhængigheder leveres i form af BCI-sæt (Base Container Images). Brugeren kan oprette, opdatere og slette software-stakke uden at påvirke andre miljøer.
Til installation anvendes D-Installer, hvor brugergrænsefladen er adskilt fra de interne komponenter i YaST, og der er mulighed for at bruge forskellige front-ends, herunder en front-end til at styre installationen via webgrænseflade. Klienter til YaST (bootloader, iSCSIClient, Kdump, firewall m.m.) understøttes i separate containere.
De væsentligste ændringer i den tredje prototype af ALP:
- Tilvejebringelse af et betroet udførelsesmiljø (Trusted Execution Environment) til fortrolige beregninger, der muliggør sikker behandling af data ved brug af isolation, kryptering og virtual machines.
- Anvendelse af hardware- og runtime-attestation til verifikation af integriteten af de udførte opgaver.
- Basis for understøttelse af fortrolige virtuelle maskiner (CVM, Confidential Virtual Machine).
- Integration af understøttelse af NeuVector-platformen til sikkerhedskontrol af containere, identifikation af sårbare komponenter og opdagelse af ondsindet aktivitet.
- Understøttelse af s390x-arkitekturen ud over x86_64 og aarch64.
- Mulighed for at aktivere fulddiskkryptering (FDE, Full Disk Encryption) under installationsprocessen med nøgleopbevaring i TPMv2 og uden behov for at indtaste en adgangssætning ved første opstart. Ækvivalent support til både kryptering af almindelige partitioner og LVM-partitioner (Logical Volume Manager).
Kilde: opennet.ru
