Fællesskabet Linux Containers har offentliggjort en udgivelse af værktøjer til organisering af arbejdet med isolerede LXC-containere 7.0, der tilbyder en runtime, der er velegnet til både kørsel af containere med et fuldt systemmiljø, der ligner virtuelle maskiner, samt til udførelse af ikke-privilegerede containere for enkeltapplikationer (OCI). LXC hører til de lavniveau værktøjer, der arbejder på niveauet af individuelle containere. Til centraliseret administration af containere, der er implementeret i en klynge af flere servere, udvikles systemer som Incus og LXD baseret på LXC. Versionen LXC 7.0 er klassificeret som en udgivelse med langtidsunderstøttelse, hvor opdateringer genereres over en periode på 5 år (indtil 2031). Koden til LXC er skrevet i C og distribueres under GPLv2-licensen.
LXC inkluderer bibliotekerne liblxc, et sæt værktøjer (lxc-create, lxc-start, lxc-stop, lxc-ls osv.), skabeloner til opbygning af containere og et sæt bindings til forskellige programmeringssprog. Isoleringen udføres ved hjælp af standardmekanismerne i Linux-kernen. Isolation af processer, netværksstak, ipc, uts, brugeridentifikatorer og monteringspunkter anvender namespaces-mekanismen. For at begrænse ressourcer anvendes cgroups. For at reducere privilegier og begrænse adgangen er der brugt kernen funktionaliteter som Apparmor-profiler, SELinux-politikker, Seccomp-politikker, Chroots (pivot_root) og capabilities.
Vigtige ændringer:
- Der er implementeret procesovervågningsisolering ved hjælp af Landlock-mekanismen, som gør det muligt for ikke-privilegerede programmer at afstå unødvendige privilegier for deres funktion, hvilket forpligter dem til at begrænse deres videre adgang til systemet med henblik på at øge sikkerheden. Landlock anvendes til at begrænse API-overvågningshåndtererne til kun at fungere med containeren og forbyde adgang til filer uden for dens grænser. Beskyttelsen anvendes under opbygningen af landlock-monitor.
- Konfigurationen af håndtererne (hook) og containerne (runtime) er blevet adskilt. Nye indstillinger lxc.environment.hooks og lxc.environment.runtime er blevet tilføjet, ved hjælp af hvilke man selektivt kan indstille miljøvariable kun for containere, uden at overføre dem til hook-håndtererne og omvendt.
- Støtten til cgroup v1 er ophørt samt understøttelsen af Linux-kernene, der ikke understøtter PIDFD og den nye API til håndtering af montering.
- Sårbarheden (CVE-2026-39402) er blevet løst, hvilket gør det muligt at omgå godkendelse og få mulighed for at slette OVS (OpenVswitch) porte ved at manipulere med kommandoen «lxc-user-nic delete». Sårbarheden gør det muligt for en ikke-privilegeret bruger at deaktivere netværksinterfacer for containere, der kører under andre brugere.
Derudover har Canonical offentliggjort en ny version af containerstyringssystemet LXD 6.8. LXD giver værktøjer til centralt at styre containere og virtuelle maskiner, der er implementeret både på én vært og i et cluster af flere. servere. Projektet er implementeret som en baggrundsproces, der modtager anmodninger over netværket via REST API og understøtter forskellige backend-lagringsløsninger (mappetræ, ZFS, Btrfs, LVM), øjebliksbilleder med tilstandsudsnit, live-migrering af kørende containere fra én maskine til en anden og værktøjer til opbevaring af containerbilleder. LXC værktøjet bruges som runtime til at køre containere.
Blandt ændringerne i LXD 6.8:
- Funktionen til clustering links er blevet tilføjet, hvilket muliggør sikker og godkendt interaktion mellem forskellige LXD-klynger ved hjælp af TLS-certifikater lxc cluster link-kommandoen, og en tilsvarende sektion er implementeret i webgrænsefladen.
- En ny rolle for klyngeknuder — «control-plane» er blevet tilføjet, hvilket gør det muligt at udpege knuder, der deltager i at bestemme Raft-konsensus og kan fungere som backup- eller master-databaseknuder.
- Replikatorer er blevet implementeret, hvilket muliggør brugen af API Cluster links til at replikere indholdet af knuder til andre LXD-klynger for at sikre høj tilgængelighed.
- Understøttelse af hotplugging af GPU-enheder CDI (Container Device Interface) til kørende containere er blevet tilføjet.
- Ceph-lagringsdriveren har fået tilføjet støtte til msgr2-protokollen (Ceph messenger v2).
- Webgrænsefladen har fået værktøjer til at administrere roller for klyngeknuder, konfigurationen i YAML-format er blevet opdateret, og den indbyggede terminal-emulator har fået et Ubuntu-stil design, mens valget af lagringsdrivere er blevet forbedret.
Kilde: opennet.ru
