Canonical ha pubblicato il rilascio degli strumenti per la gestione dei contenitori isolati LXC 5.0, fornendo un runtime adatto sia per l'esecuzione di contenitori con un ambiente di sistema completo, simili a macchine virtuali, sia per l'esecuzione di contenitori non privilegiati per singole applicazioni (OCI). LXC è uno strumento di basso livello che opera a livello di singoli contenitori. Per la gestione centralizzata dei contenitori distribuiti in un cluster di più server, si sta sviluppando il sistema LXD basato su LXC. La versione LXC 5.0 è classificata come rilascio con supporto a lungo termine, con aggiornamenti forniti per un periodo di 5 anni. Il codice LXC è scritto in linguaggio C e distribuito sotto licenza GPLv2.
LXC comprende la libreria liblxc, un insieme di utility (lxc-create, lxc-start, lxc-stop, lxc-ls, ecc.), template per la creazione di container e un insieme di binding per vari linguaggi di programmazione. L'isolamento è realizzato attraverso i meccanismi standard del kernel Linux. Per l'isolamento di processi, stack di rete ipc, uts, identificatori utente e punti di montaggio, viene utilizzato il meccanismo dei namespace. Per limitare le risorse si usano i cgroups. Per ridurre i privilegi e limitare l'accesso si avvalgono di funzionalità del kernel come i profili Apparmor e SELinux, le politiche Seccomp, Chroots (pivot_root) e capabilities.
Principali modifiche:
- È stato effettuato il passaggio da autotools al sistema di build Meson, utilizzato anche per progetti come X.Org Server, Mesa, Lighttpd, systemd, GStreamer, Wayland, GNOME e GTK.
- Aggiunte nuove opzioni per la configurazione dei cgroup — lxc.cgroup.dir.container, lxc.cgroup.dir.monitor, lxc.cgroup.dir.monitor.pivot e lxc.cgroup.dir.container.inner, che permettono di definire esplicitamente i percorsi cgroup per il container, il processo di monitoraggio e le gerarchie cgroup annidate.
- È stata aggiunta la supporto per i namespace temporali (time namespaces) per legare a un contenitore uno stato separato dell'orologio di sistema, consentendo di utilizzare nel contenitore un orario diverso da quello di sistema. Sono state proposte le opzioni lxc.time.offset.boot e lxc.time.offset.monotonic per configurare il disallineamento rispetto all'orologio di sistema principale.
- Per gli adattatori ethernet virtuali (Veth) è stata implementata la supporto per VLAN. Le opzioni per gestire le VLAN comprendono: veth.vlan.id per impostare la VLAN principale e veth.vlan.tagged.id per legare VLAN taggate aggiuntive.
- Per gli adattatori ethernet virtuali è stata aggiunta la possibilità di configurare le dimensioni delle code di ricezione e trasmissione tramite le nuove opzioni veth.n_rxqueues e veth.n_txqueues.
Fonte: opennet.ru
