Die Linux Containers-Community hat das Release der Tools zur Verwaltung isolierter LXC-Container 7.0 veröffentlicht, die ein Runtime bietet, das sowohl für das Starten von Containern mit vollständiger Systemumgebung, ähnlich wie virtuelle Maschinen, als auch für die Ausführung unprivilegierter Container einzelner Anwendungen (OCI) geeignet ist. LXC gehört zu den Low-Level-Tools, die auf der Ebene einzelner Container arbeiten. Für das zentralisierte Management von Containern, die in einem Cluster mehrere Server bereitgestellt werden, entwickeln sich auf Basis von LXC die Systeme Incus und LXD. Die Version LXC 7.0 wird als Long-Term-Support (LTS) Release eingestuft, mit Updates, die über einen Zeitraum von 5 Jahren (bis 2031) erstellt werden. Der LXC-Code ist in C geschrieben und wird unter der GPLv2-Lizenz verbreitet.
Die LXC umfasst die Bibliothek liblxc, eine Sammlung von Tools (lxc-create, lxc-start, lxc-stop, lxc-ls usw.), Vorlagen für den Aufbau von Containern und eine Reihe von Bindings für verschiedene Programmiersprachen. Die Isolation erfolgt durch die standardmäßigen Mechanismen des Linux-Kernels. Zur Isolation von Prozessen, Netzwerk-Stacks, IPC, UTS, Benutzer-ID und Mount-Punkten wird der Namensraum-Mechanismus (namespaces) verwendet. Ressourcen werden mit cgroups limitiert. Zur Herabsetzung der Berechtigungen und zur Einschränkung des Zugriffs kommen Funktionen des Kernels wie Apparmor-Profile, SELinux, Seccomp-Politiken, Chroots (pivot_root) und capabilities zum Einsatz.
Wesentliche Änderungen:
- Der Prozess der Überwachung wurde durch den Landlock-Mechanismus isoliert, der es nicht privilegierten Programmen erlaubt, unnötige Berechtigungen aufzugeben und ihren Zugang zum System freiwillig zu beschränken, um die Sicherheit zu erhöhen. Landlock wird eingesetzt, um API-Handler für die Überwachung zu beschränken, sodass nur mit dem Container gearbeitet werden kann, und um den Zugriff auf Dateien außerhalb dessen zu verhindern. Der Schutz wird beim Zusammenbauen von landlock-monitor angewendet.
- Die Konfiguration der Handler (Hooks) und Container (Runtime) wurde getrennt. Neue Einstellungen wie lxc.environment.hooks und lxc.environment.runtime wurden hinzugefügt, mit denen Umgebungsvariablen selektiv nur für Container festgelegt werden können, ohne sie an die Hook-Handler weiterzugeben, und umgekehrt.
- Die Unterstützung für cgroup v1 sowie für Linux-Kernel, die PIDFD und die neue Mount-Management-API nicht unterstützen, wurde eingestellt.
- Eine Sicherheitsanfälligkeit (CVE-2026-39402) wurde behoben, die es ermöglichte, die Autorisierung zu umgehen und das Löschen von OVS (OpenVswitch)-Ports durch Manipulation des Befehls „lxc-user-nic delete“ zu erreichen. Diese Schwachstelle ermöglicht es nicht privilegierten Benutzern, Netzwerkschnittstellen für Container anderer Benutzer zu deaktivieren.
Darüber hinaus hat die Firma Canonical eine neue Version des Container-Management-Systems LXD 6.8 veröffentlicht. LXD bietet Werkzeuge für die zentrale Verwaltung von Containern und virtuellen Maschinen, die sowohl auf einem einzelnen Host als auch in einem Cluster von mehreren Hosts bereitgestellt werden. ServerDas Projekt wird als Hintergrundprozess implementiert, der Anfragen über das Netzwerk mithilfe einer REST-API entgegennimmt und verschiedene Speicherrückends unterstützt (Verzeichnisbaum, ZFS, Btrfs, LVM), Snapshots für den Zustand, Live-Migration von aktiven Containern von einem Rechner auf einen anderen sowie Mittel zur Speicherung von Container-Images bietet. Zur Ausführung der Container wird das LXC-Toolkit verwendet.
Zu den Änderungen in LXD 6.8 gehören:
- Die Funktion zur Verknüpfung von Clustern (Cluster Links) wurde hinzugefügt, die eine geschützte und authentifizierte Interaktion zwischen verschiedenen LXD-Clustern ermöglicht. TLS-Zertifikaten Zur Verwaltung der Verknüpfungen wurde der Befehl „lxc cluster link“ hinzugefügt und ein entsprechender Abschnitt in der Web-Oberfläche implementiert.
- Eine neue Cluster-Knotenrolle namens „control-plane“ wurde hinzugefügt, mit der Knoten identifiziert werden können, die an der Festlegung des Raft-Konsenses teilnehmen und die als Backup- oder Master-Datenbankknoten fungieren können.
- Replikatoren wurden implementiert, die die Verwendung der API Cluster Links zur Replikation des Inhalts von Knoten in andere LXD-Cluster ermöglichen, um die Fehlertoleranz zu gewährleisten.
- Die Unterstützung für das Hotplugging von GPU-Geräten über CDI (Container Device Interface) zu laufenden Containern wurde hinzugefügt.
- Der Ceph-Speicher-Treiber erhielt Unterstützung für das msgr2-Protokoll (Ceph Messenger v2).
- Im Webinterface wurden Werkzeuge zur Verwaltung der Rollen von Clusterknoten hinzugefügt, der Konfigurationseditor im YAML-Format wurde modernisiert, der integrierte Terminal-Emulator erhielt ein Ubuntu-inspiriertes Design, und die Auswahl der Speicher-Treiber wurde verbessert.
Quelle: opennet.ru
