Linux Containerite kogukond avaldas tööriistade komplekti LXC 7.0 isoleeritud konteinerite haldamiseks, pakkudes runtime'i, mis sobib nii konteinerite käivitamiseks, millel on täisteenuse keskkond ja mis on lähedased virtuaalmasinatele, kui ka eraldiseisvate rakenduste (OCI) privileegideta konteinerite executimiseks. LXC kuulub madala taseme tööriistade hulka, mis toimivad üksikute konteinerite tasemel. Keskseteks haldussüsteemideks konteinerite haldamiseks, mis on juurutatud mitme serveri klastrisse, arendatakse LXC põhjal süsteeme Incus ja LXD. LXC 7.0 haru kuulub pikaajalise toetuse väljaannete hulka, mille uuendused toimuvad 5 aasta jooksul (kuni 2031. aastani). LXC kood on kirjutatud C keeles ja levitakse GPLv2 litsentsi all.
LXC sisaldab liblxc raamatukogu, utiliite (lxc-create, lxc-start, lxc-stop, lxc-ls jne), konteinerite loomise malle ning sidumisi erinevatele programmeerimiskeeltele. Isolatsioon tagatakse Linuxi tuuma sisseehitatud mehhanismide abil. Protsesside, võrgu, IPC, UTS, kasutaja identifikaatorite ja montaažipunktide isolatsiooniks kasutatakse nimede ruume (namespaces). Ressursside piiramiseks rakendatakse cgroups'i. Privileegide alandamiseks ja juurdepääsu piiramiseks kasutatakse selliseid tuuma võimalusi nagu Apparmor ja SELinux profiilid, Seccomp poliitikad, Chroots (pivot_root) ja capabilities.
Peamised muudatused:
- Protsessi jälgimise isolatsioon on rakendatud Landlock mehhanismi abil, mis võimaldab mitteprivileegitud programmidele loobuda tööks vajalikest privileegidest, piirates vabatahtlikult oma juurdepääsu süsteemile, et suurendada turvalisust. Landlocki kasutatakse jälgimise API töötlejate piiramiseks nii, et need saavad toimida ainult konteineri sees ja keelata juurdepääsu failidele selle piiridest väljaspool. Kaitse rakendatakse landlock-monitor'i koostamisel.
- Konfiguratsiooni töötlused (hook) ja konteinerid (runtime) on eraldatud. Lisatud on uued seadistused lxc.environment.hooks ja lxc.environment.runtime, mille abil saab valida, milliseid keskkonnamuutujaid rakendatakse ainult konteineritele, mitte hook-töötlustele, ja vastupidi.
- Cgroup v1 toe lõpetamine ja Linuxi tuumade toetamine, mis ei toeta PIDFD-d ega uut montaažihaldus-API-d.
- Rikke (CVE-2026-39402) kõrvaldamine, mis võimaldab autoriseerimise ületamist ja OVS (OpenVswitch) sadamate eemaldamist käsu "lxc-user-nic delete" manipuleerimise teel. Riketehnika võimaldab privileegideta kasutajal peatada võrguliideseid konteinerites, mis on käivitatud teiste kasutajate poolt.
Lisaks on ettevõte Canonical avaldanud uue konteinerihaldussüsteemi LXD 6.8 versiooni. LXD pakub tööriistu konteinerite ja virtuaalmasinate tsentraliseeritud haldamiseks, mis on juurutatud nii ühel hostil kui ka mitme hosti klastris. serverite. Projekt on ellu viidud taustaprotsessina, mis võtab vastu päringuid üle võrgu REST API kaudu ja toetab erinevaid salvestustaguseid (kaustapuu, ZFS, Btrfs, LVM), oleku snapshots, töötavate konteinerite live-migratsiooni ühest masinast teise ning konteineripiltide salvestusvahendeid. Konteinerite käitamiseks kasutatakse LXC tööriistu.
LXD 6.8 uuendustes:
- Lisatud klastrite sidumise funktsioon (Cluster links), mis võimaldab korraldada turvalist ja autentimist tuginemist TLS-sertifikaadid erinevate LXD klastrite vahel. Sidumise haldamiseks on lisatud käsk «lxc cluster link» ja vastav jaotis veebiliidesesse.
- Lisatud uus klastrite sõlmede roll — «control-plane», millega saab eraldada sõlmed, mis osalevad Raft konsensuse määramisel ning suudavad toimida varu- või peaarvuti DB-na.
- Rakendatud replikatorid, mis võimaldavad kasutada API Cluster links sisule suurte LXD klastrite replikatsiooniks, et tagada talitlushäirete taluvus.
- Lisatud on GPU CDI (Container Device Interface) seadmete portatiivse ühenduse tugi töötavatesse konteineritesse.
- Ceph'i salvestusjuhtmesse on lisatud msgr2 (Ceph'i sõnumivõrgu versioon 2) protokolli tugi.
- Veebiliidesesse on lisatud tööriistad klastri sõlmede rollide haldamiseks, uuendatud YAML-formaadis konfigureerimise redaktor, integreeritud Ubuntu stiilis terminali emulaatori kujundus ning parendatud salvestusjuhtmete valik.
Allikas: opennet.ru
