Das Unternehmen SUSE hat den dritten Prototyp der ALP «Piz Bernina» (Adaptable Linux Platform) veröffentlicht, der als Fortsetzung der Entwicklung der SUSE Linux Enterprise-Distribution positioniert ist. Ein wesentliches Merkmal von ALP ist die Aufteilung der Basis des Distributionssystems in zwei Teile: ein reduziertes «Host OS» für den Betrieb auf Hardware und eine Schicht zur Unterstützung von Anwendungen, die auf Container- und virtuellen Maschinen ausgelegt ist. ALP wird von Anfang an unter einem offenen Entwicklungsprozess entwickelt, bei dem Zwischenversionen und Testergebnisse öffentlich доступны sind für alle Interessierten.
Der dritte Prototyp umfasst zwei separate Versionen, die in ihrer aktuellen Form ähnlich sind, sich jedoch in Zukunft in unterschiedliche Anwendungsbereiche entwickeln und sich durch die bereitgestellten Dienste unterscheiden werden. Für Tests steht der Branch Bedrock zur Verfügung, der auf den Einsatz in Serversystemen ausgerichtet ist, und der Branch Micro, der auf den Aufbau von Cloud-Systemen (cloud-native) und den Betrieb von Mikrodiensten ausgelegt ist. Fertige Versionen sind für die Architektur x86_64 (Bedrock, Micro) verfügbar. Zusätzlich sind Build-Szenarien (Bedrock, Micro) für die Architekturen Aarch64, PPC64le und s390x verfügbar.
Die Architektur von ALP basiert auf der Entwicklung einer „Host OS“-Umgebung, die minimal erforderlich ist, um Hardware zu unterstützen und zu verwalten. Alle Anwendungen und Komponenten des Benutzerraums sollen nicht in einer gemischten Umgebung, sondern in separaten Containern oder in virtuellen Maschinen, die über dem „Host OS“ ausgeführt werden und voneinander isoliert sind. Eine solche Organisation ermöglicht es den Benutzern, sich auf die Anwendungen zu konzentrieren und die Arbeitsabläufe zu abstrahieren, indem sie von der niedrigstufigen Systemumgebung und Hardware getrennt werden.
Als Grundlage für das „Host OS“ wird das Produkt SLE Micro verwendet, das auf den Ergebnissen des Projekts MicroOS basiert. Für das zentrale Management werden die Konfigurationsmanagement-Systeme Salt (vorinstalliert) und Ansible (Option) angeboten. Für den Betrieb isolierter Container stehen die Werkzeuge Podman und K3s (Kubernetes) zur Verfügung. Zu den in Container ausgegliederten Systemkomponenten gehören yast2, podman, k3s, cockpit, GDM (GNOME Display Manager) und KVM.
Zu den Besonderheiten der Systemumgebung gehört die standardmäßige Verwendung von Festplattenschlüsselung (FDE, Full Disk Encryption) mit der Möglichkeit, Schlüssel im TPM zu speichern. Die Root-Partition wird schreibgeschützt gemountet und während des Betriebs nicht verändert. In der Umgebung kommt ein Mechanismus für atomare Updates zur Anwendung. Im Gegensatz zu den atomaren Updates auf Basis von ostree und snap, die in Fedora und Ubuntu verwendet werden, verwendet ALP anstelle des Aufbaus separater atomarer Images und der Bereitstellung zusätzlicher Lieferinfrastrukturen den standardmäßigen Paketmanager und den Snapshot-Mechanismus im Btrfs-Dateisystem.
Es ist ein konfigurierbarer automatischer Update-Modus vorgesehen (zum Beispiel kann die automatische Installation nur für kritische Sicherheitsupdates aktiviert werden oder es kann zur manuellen Bestätigung der Installation von Updates zurückgekehrt werden). Für das Aktualisieren des Linux-Kernels ohne Neustart und ohne Unterbrechung des Betriebs werden Live-Patches unterstützt. Zur Aufrechterhaltung der Systemresilienz (Self-Healing) wird der letzte stabile Zustand mithilfe von Btrfs-Snapshots festgehalten (bei Erkennung von Anomalien nach der Anwendung von Updates oder Änderungen an den Einstellungen wird das System automatisch in den vorherigen Zustand zurückversetzt).
In der Plattform wird ein mehrversionales Software-Stack verwendet – dank der Verwendung von Containern können verschiedene Versionen von Werkzeugen und Anwendungen gleichzeitig genutzt werden. Beispielsweise können Anwendungen, die unterschiedliche Versionen von Python, Java und Node.js in ihren Abhängigkeiten nutzen, gestartet werden, während inkompatible Abhängigkeiten voneinander getrennt werden. Die Grundabhängigkeiten werden in Form von BCI (Base Container Images) bereitgestellt. Benutzer können Software-Stacks erstellen, aktualisieren und löschen, ohne andere Umgebungen zu beeinträchtigen.
Für die Installation wird der D-Installer verwendet, bei dem die Benutzeroberfläche von den internen Komponenten von YaST getrennt ist und die Möglichkeit besteht, verschiedene Frontends zu verwenden, darunter ein Frontend zur Verwaltung der Installation über eine Web-Schnittstelle. Die Ausführung von YaST-Clients (Bootloader, iSCSIClient, Kdump, Firewall usw.) in separaten Containern wird unterstützt.
Die wichtigsten Änderungen im dritten Prototyp von ALP:
- Bereitstellung einer vertrauenswürdigen Umgebung (Trusted Execution Environment) für vertrauliche Berechnungen, die eine sichere Verarbeitung von Daten unter Verwendung von Isolation, Verschlüsselung und virtuelle Maschinen.
- Einsatz von Hard- und Runtime-Zertifizierung zur Überprüfung der Integrität von ausgeführten Aufgaben.
- Basis für die Unterstützung vertraulicher virtueller Maschinen (CVM, Confidential Virtual Machine).
- Integration der Unterstützung für die NeuVector-Plattform zur Überprüfung der Sicherheit von Containern, zur Identifizierung von anfälligen Komponenten und zur Erkennung bösartiger Aktivitäten.
- Unterstützung der Architektur s390x zusätzlich zu x86_64 und aarch64.
- Möglichkeit, während der Installation der Vollverschlüsselung (FDE, Full Disk Encryption) die Schlüssel im TPMv2 zu speichern, ohne dass während des ersten Starts ein Passwort eingegeben werden muss. Entsprechende Unterstützung sowohl für die Verschlüsselung standardmäßiger Partitionen als auch für LVM-Partitionen (Logical Volume Manager).
Quelle: opennet.ru
