L'azienda SUSE ha pubblicato il terzo prototipo della piattaforma ALP "Piz Bernina" (Adaptable Linux Platform), posizionata come l'evoluzione del sistema operativo SUSE Linux Enterprise. La principale novità di ALP è la divisione della base del sistema in due parti: un "host OS" ridotto per operare sull'hardware e uno strato dedicato al supporto delle applicazioni, focalizzato sull'esecuzione in contenitori e macchine virtuali. ALP viene sviluppato inizialmente attraverso un processo di sviluppo aperto, in cui le versioni intermedie e i risultati dei test sono pubblicamente accessibili a tutti.
Il terzo prototipo include due rami separati, che attualmente sono simili nelle funzioni, ma in futuro si svilupperanno in direzioni diverse e offriranno servizi differenti. Per i test è disponibile il ramo Bedrock, focalizzato sull'uso in sistemi server, e il ramo Micro, progettato per costruire sistemi cloud-native e avviare microservizi. Le build pronte sono preparate per l'architettura x86_64 (Bedrock, Micro). Inoltre, sono disponibili script di build (Bedrock, Micro) per le architetture Aarch64, PPC64le e s390x.
L'architettura ALP si basa sullo sviluppo di un ambiente 'host OS', minimo necessario per supportare e gestire l'hardware. Tutte le applicazioni e i componenti dello spazio utente sono progettati per essere eseguiti non in un ambiente misto, ma in contenitori separati o in macchine virtuali, eseguiti sopra l' 'host OS' e isolati l'uno dall'altro. Tale organizzazione consentirà agli utenti di concentrarsi sulle applicazioni e di astraere i flussi di lavoro, separandoli dall'ambiente di sistema di basso livello e dall'hardware.
La base per il "host OS" è fornita dal prodotto SLE Micro, sviluppato sulle esperienze del progetto MicroOS. Per la gestione centralizzata, sono disponibili sistemi di gestione della configurazione Salt (preinstallato) e Ansible (opzionale). Per l'esecuzione di container isolati, sono disponibili strumenti come Podman e K3s (Kubernetes). Tra i componenti di sistema incorporati nei container ci sono yast2, podman, k3s, cockpit, GDM (GNOME Display Manager) e KVM.
Tra le caratteristiche dell'ambiente di sistema si menziona l'uso predefinito della crittografia del disco (FDE, Full Disk Encryption) con la possibilità di memorizzare le chiavi nel TPM. La partizione principale viene montata in modalità di sola lettura e non viene modificata durante il funzionamento. Nell'ambiente viene utilizzato un meccanismo di installazione atomica degli aggiornamenti. A differenza degli aggiornamenti atomici basati su ostree e snap, utilizzati in Fedora e Ubuntu, in ALP, invece di costruire singole immagini atomiche e distribuire un'infrastruttura di consegna aggiuntiva, vengono utilizzati il gestore di pacchetti di sistema e meccanismi di snapshot nel filesystem Btrfs.
È previsto un modo configurabile per l'installazione automatica degli aggiornamenti (ad esempio, è possibile abilitare l'installazione automatica solo per le patch di vulnerabilità critiche o tornare alla conferma manuale dell'installazione degli aggiornamenti). Per aggiornare il kernel Linux senza riavvio e interruzione del servizio, sono supportati i live patch. Per garantire la resilienza del sistema (self-healing), viene effettuata la registrazione dello stato stabile più recente tramite snapshot Btrfs (in caso di anomalie dopo l'applicazione di aggiornamenti o modifiche delle impostazioni, il sistema viene automaticamente riportato allo stato precedente).
La piattaforma utilizza uno stack software multi-versione: grazie all'uso dei contenitori, è possibile utilizzare diverse versioni di strumenti e applicazioni contemporaneamente. Ad esempio, è possibile eseguire applicazioni che utilizzano versioni diverse di Python, Java e Node.js come dipendenze, separando le dipendenze incompatibili. Le dipendenze di base sono fornite sotto forma di set di BCI (Base Container Images). L'utente può creare, aggiornare e eliminare stack software senza influire su altri ambienti.
Per l'installazione si utilizza l'installer D-Installer, in cui l'interfaccia utente è separata dai componenti interni di YaST e offre la possibilità di utilizzare vari frontend, incluso un frontend per la gestione dell'installazione tramite interfaccia web. È supportato l'esecuzione dei clienti YaST (bootloader, iSCSIClient, Kdump, firewall, ecc.) in contenitori separati.
Principali cambiamenti nel terzo prototipo ALP:
- Fornire un ambiente di esecuzione fidato (Trusted Execution Environment) per calcoli riservati, che consente di elaborare in modo sicuro i dati utilizzando isolamento, crittografia e. di macchine virtuali.
- Applicazione di attestazione hardware e runtime per verificare l'integrità delle attività in esecuzione.
- Base per il supporto delle macchine virtuali riservate (CVM, Confidential Virtual Machine).
- Integrazione del supporto per la piattaforma NeuVector per il controllo della sicurezza dei contenitori, l'identificazione di componenti vulnerabili e il rilevamento di attività dannose.
- Supporto per l'architettura s390x oltre a x86_64 e aarch64.
- Possibilità di attivare la crittografia a disco completo (FDE, Full Disk Encryption) durante l'installazione, con memorizzazione delle chiavi in TPMv2 e senza necessità di immettere una passphrase al primo avvio. Supporto equivalente sia per la crittografia delle partizioni standard che per le partizioni LVM (Logical Volume Manager).
Fonte: opennet.ru
