La comunità dei Linux Containers ha pubblicato il rilascio dello strumento per la gestione dei container isolati LXC 7.0, che fornisce un runtime adatto sia per l'esecuzione di container con un ambiente di sistema completo, simile alle macchine virtuali, sia per l'esecuzione di container non privilegiati di singole applicazioni (OCI). LXC è considerato un tool a basso livello che opera a livello di singoli container. Per la gestione centralizzata dei container distribuiti in un cluster di più server, si stanno sviluppando sistemi basati su LXC come Incus e LXD. Il ramo LXC 7.0 è stato classificato come rilascio con supporto a lungo termine, il cui aggiornamento sarà fornito per 5 anni (fino al 2031). Il codice LXC è scritto in linguaggio C ed è distribuito sotto licenza GPLv2.
Il pacchetto di LXC include la libreria liblxc, un insieme di utility (lxc-create, lxc-start, lxc-stop, lxc-ls, ecc.), modelli per costruire contenitori e un insieme di binding per vari linguaggi di programmazione. L'isolamento avviene tramite i meccanismi standard del kernel Linux. Per isolare processi, stack di rete ipc, uts, identificatori utente e punti di montaggio viene utilizzato il meccanismo degli spazi dei nomi (namespaces). Per limitare le risorse si applicano i cgroups. Per ridurre i privilegi e limitare l'accesso, vengono utilizzate funzionalità del kernel come profili Apparmor e SELinux, politiche Seccomp, Chroots (pivot_root) e capabilities.
Variazioni principali:
- È stata realizzata l'isolamento del processo di monitoraggio tramite il meccanismo Landlock, che consente a programmi non privilegiati di eliminare privilegi non necessari per il loro funzionamento, limitando volontariamente il loro successivo accesso al sistema per migliorare la sicurezza. Landlock è utilizzato per limitare i gestori API di monitoraggio al funzionamento esclusivo con il container e vietare l'accesso ai file al di fuori di esso. La protezione viene applicata nella fase di assemblaggio delle landlock-monitor.
- È stata separata la configurazione dei gestori (hook) e dei container (runtime). Sono state aggiunte nuove impostazioni lxc.environment.hooks e lxc.environment.runtime, attraverso le quali è possibile impostare selettivamente le variabili d'ambiente solo per i container, senza trasmetterle ai gestori hook, e viceversa.
- È stata interrotta la supporto per cgroup v1, così come per i kernel Linux che non supportano PIDFD e il nuovo API di gestione del montaggio.
- È stata rimossa una vulnerabilità (CVE-2026-39402) che consentiva di bypassare l'autorizzazione e di ottenere la rimozione delle porte OVS (OpenVswitch) tramite la manipolazione del comando "lxc-user-nic delete". Questa vulnerabilità permette a un utente non privilegiato di disattivare le interfacce di rete per i container avviati da altri utenti.
Inoltre, Canonical ha pubblicato una nuova versione del sistema di gestione dei container LXD 6.8. LXD fornisce strumenti per la gestione centralizzata dei container e delle macchine virtuali, distribuite sia su un singolo host che in un cluster di più server. server. Il progetto è implementato come un processo in background che riceve richieste tramite rete attraverso REST API e supporta vari backend di archiviazione (albero delle directory, ZFS, Btrfs, LVM), snapshot dello stato, migrazione live dei container in esecuzione da una macchina all'altra e strumenti per la memorizzazione delle immagini dei container. Come runtime per eseguire i container viene utilizzato il toolkit LXC.
Tra le novità in LXD 6.8:
- È stata aggiunta la funzione di collegamento dei cluster (Cluster links), che consente di organizzare interazioni sicure e autenticate tramite di certificati TLS comunicazione tra diversi cluster LXD. È stato aggiunto il comando «lxc cluster link» per gestire il collegamento e implementata una sezione corrispondente nell'interfaccia web.
- È stata introdotta una nuova funzione per i nodi del cluster — «control-plane», che consente di identificare i nodi coinvolti nella definizione del consenso Raft e capaci di fungere da nodi secondari o nodi master del database.
- Sono stati implementati replicatori che consentono di utilizzare l'API dei Cluster links per la replica del contenuto dei nodi in altri cluster LXD, al fine di garantire la disponibilità.
- È stata aggiunta la supporto per il collegamento a caldo dei dispositivi GPU CDI (Container Device Interface) ai container in esecuzione.
- Nel driver di archiviazione Ceph è stato aggiunto il supporto per il protocollo msgr2 (Ceph messenger v2).
- Nell'interfaccia web sono stati aggiunti strumenti per gestire i ruoli dei nodi del cluster, è stato modernizzato l'editor di configurazione in formato YAML, è stata implementata una grafica stilizzata per l'emulatore di terminale integrato, e migliorata la selezione dei driver di archiviazione.
Fonte: opennet.ru
