Den tredje udgave af Incus-projektet er præsenteret, hvor samfundet af Linux Containere udvikler en fork af containerstyringssystemet LXD, lavet af det tidligere udviklerhold, der engang skabte LXD. Koden til Incus er skrevet i Go og distribueres under Apache 2.0-licensen.
Vi minder om, at Linux Containers-fællesskabet styrede udviklingen af LXD, indtil Canonical besluttede at udvikle LXD separat som et kommercielt projekt. Formålet med fork'en er at tilbyde et styret alternativ til LXD-projektet, som er under kontrol af Canonical. I rammerne af projektet Incus er målet også at rette nogle konceptuelle fejl, der blev begået under udviklingen af LXD, og som tidligere ikke kunne rettes uden at krænke bagudkompatibiliteten.
Incus tilbyder værktøjer til centralt at administrere containere og virtuelle maskiner, der er implementeret både på en enkelt vært og i et cluster af flere. servere. Projektet er implementeret som en baggrundsproces, der modtager netværksanmodninger via REST API og understøtter forskellige lagerbackends (mappetræ, ZFS, Btrfs, LVM), snapshots af tilstande, live-migrering af kørende containere fra én maskine til en anden samt værktøjer til opbevaring af containerbilleder. Som runtime til at køre containere anvendes LXC-værktøjer, som inkluderer liblxc-biblioteket, en række værktøjer (lxc-create, lxc-start, lxc-stop, lxc-ls osv.), skabeloner til bygge containere og et sæt bindinger til forskellige programmeringssprog. Isolation opnås ved hjælp af de indbyggede mekanismer i Linux-kernen (navnerum, cgroups, Apparmor, SELinux, Seccomp).
De mest mærkbare ændringer:
- Støtten til brugerautorisationsstyring baseret på Relationship-Based Access Control-modellen er blevet tilføjet, implementeret ved hjælp af baggrundsprocessen OpenFGA, som træffer beslutninger om at give brugerne bestemte rettigheder. I kombination med OpenID Connect-udbyderen giver OpenFGA mulighed for at danne en åben identifikations- og autorisationsstak, som gør det muligt at bruge Incus som en fuld erstatning for LXD-konfigurationer med Canonical RBAC. Der er foreslået parameterne openfga.api.token, openfga.api.url, openfga.store.id og openfga.store.model_id til at konfigurere adgangen til OpenFGA.
- Værktøjet lxd-to-incus, der automatiserer migreringen fra LXD til Incus, er forbedret. Den nye version tilføjer support til distributioner med OpenRC-init-systemet, muligheden for at overføre Ceph-lagre og OVN-netværk er implementeret, samt logføring af migreringen og oprettelse af sikkerhedskopier.
- I virtuelle maskiner Support til hot-plug/hot-remove af filstier eller individuelle partitioner, der er forwarded fra værtsmiljøet, er blevet tilføjet. Tidligere krævede en sådan forwarding ved hjælp af virtio-fs-drivere eller 9p FS stop af den virtuelle maskine. For at omgå denne begrænsning er QEMU's mulighed for at hot-plug PCI-enheder og montering af stier inden i gæstesystemet via incus-agent benyttet.
Kilde: opennet.ru
