A Linux Containers közössége közzétette az LXC 6.0 izolált konténerek kezelésére szolgáló eszközkészlet kiadását, amely egy olyan futtatókörnyezetet biztosít, amely alkalmas teljes rendszeri környezettel rendelkező konténerek futtatására, amelyek a virtuális gépekhez hasonlítanak, valamint nem privilegizált külön alkalmazáskonténerek (OCI) végrehajtására. Az LXC alacsony szintű eszközkészletekhez tartozik, amelyek egyedi konténerek szintjén működnek. Az LXC alapjain a központosított konténerkezelő rendszerek, például az Incus és az LXD fejlesztés alatt állnak, amelyek több szerverből álló klaszterben telepített konténereket kezelnek. Az LXC 6.0 ága hosszú távú támogatású kiadások közé tartozik, amelyeken a frissítések 5 éven keresztül készülnek (2029-ig). Az LXC kódja C nyelven íródott, és GPLv2 licenc alatt terjesztik.
Az LXC tartalmazza a liblxc könyvtárat, a használt eszközök készletét (lxc-create, lxc-start, lxc-stop, lxc-ls stb.), a tartályok megépítéséhez szükséges sablonokat, valamint különböző programozási nyelvekhez készült bindigeket. Az izoláció a Linux kernel beépített mechanizmusaival valósul meg. A folyamatok, a hálózati verem, az ipc, az uts, a felhasználói azonosítók és a csatolási pontok izolációjára a névtér mechanizmus (namespaces) használatos. Az erőforrások korlátozása cgroups segítségével történik. A privilegizálás csökkentésére és a hozzáférés korlátozására az Apparmor és SELinux profilok, Seccomp irányelvek, Chroot (pivot_root) és képességek alkalmazása van lehetőség.
Főbb változások:
- Lehetőséget nyújtanak egy univerzális végrehajtható fájl, az lxc összeállítására, amely egyesíti az összes parancsot egyetlen eszközben, amely korábban külön „lxc-*” eszközökként volt elérhető. Az összegző végrehajtható fájl összeállításához kínált opció a „tools-multicall=true”, aminek beállítása esetén az összes régi külön eszköz szimbolikus hivatkozásként létrejön az lxc eszközre. Az egy végrehajtható fájl formájában történő összeszerelés jelentősen csökkenti az eszközkészlet lemezterület-felhasználását, ami fontos a beágyazott rendszerek számára.
- A liblxc könyvtárhoz hozzáadódott a set_timeout funkció, amely lehetővé teszi a LXC monitorral végzett műveletek időkorlátjának beállítását.
- Az lxcbr0 nevű hálózati híd interfésze alapértelmezés szerint aktív. IPv6 támogatás az IPv6 ULA (Unique Local Address) alhálózat címeinek beállításával.
- Az lxc-usernsexec eszközbe új opciók, a „-u” és a „-g” kerültek bevezetésre a felhasználói és csoportazonosítók (UID és GID) megváltoztatásához.
- A lxc-checkconfig eszközben a verzió megjelenítése csak az lxc-start parancs jelenlétében biztosított, és hozzáadódott a tájékoztatás a névterek maximálisan megengedett számáról is.
- Támogatás került bevezetésre az OCI formátumú konténerképekhez, amelyekben az információ tömörítése a Squashfs fájlrendszert használja.
- A systemd-vel való D-Bus kapcsolat érdekében külön libdbus-1 könyvtárat alkalmaznak a libsystemd helyett.
- Megszűnt az Upstart inicializációs rendszer támogatása.
Megjelent az Incus projekt kiadása, amely keretében a Linux Containers közössége az LXD konténerkezelő rendszer forkját fejleszti, amelyet annak régi fejlesztőcsapata hozott létre, akik valaha az LXD-t készítették. Az Incus kódja Go nyelven készült, és az Apache 2.0 licenc alatt terjesztik. Az Incus 6.0 elsőként stabil ágnak van pozicionálva, amelyhez hosszú frissítési ciklus (LTS) biztosítanak. Az Incus 6.0-ban kiemelkedő változás az API bridge.external_interfaces segítségével történő hálózati interfészek létrehozásának lehetősége, a JWT (JSON Web Token) alapú hitelesítés javított támogatása, USB támogatás és részletes rendszerinformációk megjelenítése az 'incus info —resources' parancsban, valamint az LXD 5.21 kiadásának támogatása az lxd-to-incus eszközben.
Az Incus és az LXD eszközöket biztosít a konténerek és virtuális gépek központosított kezelésére, amelyek egyetlen hoston vagy több klaszterben kerültek telepítésre. szerverek. A projekt egy háttérfolyamat keretében valósul meg, amely hálózati kéréseket fogad REST API-n keresztül, és támogatja a különböző tárolási háttérmegoldásokat (mappafa, ZFS, Btrfs, LVM), állapot snapshots-ot, működő konténerek élő migrációját egyik gépről a másikra, valamint a konténerképek tárolására szolgáló eszközöket. A konténerek futtatásához az LXC eszközkészletét használják. Az elszigetelés a Linux kernel beépített mechanizmusain keresztül valósul meg (névtér, cgroups, Apparmor, SELinux, Seccomp).
A Linux Containers közössége felügyelte az LXD fejlesztését, mielőtt a Canonical cég úgy döntött, hogy az LXD-t vállalati projektté alakítja. A fork célja egy, a Canonical által irányított LXD projekt alternatívájaként működő, független közösség által kezelt megoldás biztosítása. Az Incus létrehozása lehetőséget biztosított arra is, hogy megszüntessék az LXD fejlesztésénél elkövetett néhány koncepcionális hibát, amelyeket korábban nem lehetett javítani a visszafelé kompatibilitás megsértése nélkül.
A Canonical publikálta az LXD 5.21.1 konténerkezelő rendszer új verzióját. Az LXD 5.21 ágat LTS-ként jelölik, és 2029 júniusáig támogatott lesz. Az LXD-hez a Canonical dolgozói által hozzáadott kód az AGPLv3 licensz alatt érkezik, de a harmadik felek által benyújtott kód, amelyhez a Canonical nem rendelkezik vagyoni jogokkal, Apache 2.0 alatt marad. Az LXD 5.21.1 funkcionális változásai között említést érdemel, hogy a snap csomag LXD-ja az LXC 6.0 és LXCFS 6.0 ágakra lett átállítva. Az API-hoz hozzáadtak egy storage_volumes_all kiterjesztést, és a hozzá kapcsolódó /1.0/storage_volumes kezelőt a tárolópartíciók listájának kiadásához. Hozzáadták az instances_files_modify_permissions kiterjesztést az API-n keresztüli meglévő fájlok hozzáférési jogainak módosításához.
Megjelent az LXCFS 6.0 virtuális fájlrendszere, amely a konténerekben a pseudo-fs /proc és /sys szimulálásához, valamint a cgroupfs virtualizált nézetének biztosításához használható olyan disztribúciók számára, amelyek nem támogatják a cgroup névtér használatát. Az új verzióban megjelent egy „—enable-cgroup” opció, amely lehetővé teszi a beépített funkció engedélyezésének kezelését a virtuális cgroupfák létrehozásához a konténerek számára, a cgroupv1 használatával (jelenleg a legtöbb disztribúció támogatja a kernel által biztosított névtér funkciót a cgrouphoz, ezért a beépített alternatív megvalósítás alapértelmezett engedélyezése értelmét vesztette, és mostantól választható). Ezen kívül az LXCFS 6.0-ban megszűnt a CPU szűrése a /sys/devices/system/cpu fájl létrehozáskor, az online/offline állapottól függően.
Forrás: opennet.ru
