🥇LXC 7.0 ja LXD 6.8 konteinerihalduse tööriistade väljaanne

Linux Containersi kogukond avaldas LXC 7.0 tööriistade väljaande, mis võimaldab isoleeritud konteinerite tööd, pakkudes runtime'i, mis sobib nii konteinerite käitamiseks täis süsteemikeskkonnas, mis on lähedane virtuaalmasinatele, kui ka eraldi rakenduste mittetäielike konteinerite töötamiseks (OCI). LXC kuulub madalamale tasemele tööriistadesse, mis tegutseb üksikute konteinerite tasemel. Keskse haldamise jaoks mitme serveri klastri konteinerite jaoks arendatakse LXC põhjal süsteeme Incus ja LXD. LXC 7.0 haru on määratud pikaajalise toetuse väljaanneteks, mille uuendused koosnevad 5 aasta jooksul (kuni 2031. aastani). LXC kood on kirjutatud C keeles ja jaotatakse GPLv2 litsentsi alusel.

LXC sisaldab raamatukogu liblxc, utiliitide komplekti (lxc-create, lxc-start, lxc-stop, lxc-ls jne), malli konteinerite koostamiseks ja erinevate programmeerimiskeelte jaoks mõeldud sidumisi. Isolatsioon toimub Linuxi tuuma standardsete mehhanismide abil. Protsesside, võrkude virnade ipc, uts, kasutaja id- ja mountimiseks kasutatakse nimede ruume (namespaces). Ressursside piiramise jaoks rakendatakse cgroups. Privileegide vähendamiseks ja juurdepääsu piiramiseks kasutatakse selliseid tuuma funktsioone nagu Apparmor ja SELinuxi profiilid, Seccomp poliitikad, Chroots (pivot_root) ja capabilities.

Peamised muudatused:

Teostatud on monitorimisprotsessi isoleerimine Landlocki mehhanismi abil, mis võimaldab mittetäielikel programmidele tühistada nende tööks vajalikud õigused, piirates vabatahtlikult oma edasist juurdepääsu süsteemile, et suurendada turvalisust. Landlock on kasutusel API monitorimise töötlejate piiramiseks, võimaldades töötada ainult konteineriga ning keelates juurdepääsu failidele väljaspool seda. Kaitse rakendatakse landlock-monitori koostamisel.
Töötleja (hook) ja konteinerite (runtime) konfiguratsioon on eraldatud. Lisatud on uued sätted lxc.environment.hooks ja lxc.environment.runtime, mille abil saab eraldi määrata keskkonnamuutujad ainult konteineritele, edastamata neid töötlejatele, ja vastupidi.
Cgroup v1 toe ja Linuxi tuumade toe lõpetamine, mis ei toeta PIDFD-d ega uut montaaži haldus-API-d.
Eemaldatud on haavatavus (CVE-2026-39402), mis võimaldab autoriseerimist mööda minna ja saavutada OVS (OpenVswitch) sadamate kustutamine käskluse „lxc-user-nic delete” manipuleerimise kaudu. Haavatavus võimaldab mittetäielikul kasutajal keelata võrgu liidesed teiste kasutajate käitatud konteinerite jaoks.

Lisaks on Canonical avaldanud uue versiooni konteinerihaldesüsteemist LXD 6.8. LXD pakub tööriistu konteinerite ja virtuaalmasinate keskseks haldamiseks, mis on paigaldatud nii ühele hostile kui ka mitme serveriga klastrisse. serverid. Projekt on ellu viidud taustaprotsessina, mis võtab vastu võrgu kaudu REST API kaudu tehtud päringud ja toetab erinevaid salvestuslahendusi (kaustapuu, ZFS, Btrfs, LVM), olekusnapšoteid, töötavate konteinerite live-migratsiooni ühest masinast teise ning konteinerite piltide salvestamise vahendeid. Kodeerimiseks kasutatakse konteinerite käitamiseks LXC tööriistu.

LXD 6.8 muudatuste hulgas:

Lisatud on klastrite sidumise funktsioon (Cluster links), mis võimaldab korraldada kaitstud ja autentitud TLS-sertifikaatide koostööd erinevate LXD klastrite vahel. Sidumise haldamiseks on lisatud käsk «lxc cluster link» ja sellele vastav jaotis veebiliideses.
Lisatud on uus klastri sõlmede roll — «control-plane», mis võimaldab eraldada sõlmed, mis osalevad Rafti konsensuse määramisel ning suudavad toimida varu- või peamise andmebaasi sõlmena.
Rakendatud on replikatsiooniseadmestikud, mis võimaldavad kasutada API Cluster links, et replikeerida sõlmede sisu teistesse LXD klastritesse, et saavutada tõrke-tolerantsus.
Lisatud on tugi GPU CDI (Container Device Interface) seadmete kuumühendamiseks töötavatesse konteineritesse.
Ceph salvestusjuhtmesse on lisatud tugi protokollile msgr2 (Ceph messenger v2).
Veebiliideses on lisatud tööriistad klastrite sõlmede rollide haldamiseks, täiustatud YAML formaadis konfiguratsiooniredaktorit, juurde on toodud Ubuntu stiilis sisseehitatud terminal emulaator, parendatud salvestusjuhtide valikut.

Allikas: opennet.ru

🥇GTK2-NG: GTK2 teegi fork | ProHoster