Het bedrijf Canonical heeft de release van de tool voor het organiseren van geĆÆsoleerde LXC-containers 5.0 gepubliceerd, die een runtime biedt die geschikt is voor het draaien van containers met een volledige systeemsituatie, vergelijkbaar met virtuele machines, evenals voor het uitvoeren van niet-geprivilegieerde containers van afzonderlijke applicaties (OCI). LXC behoort tot de low-level tools die werken op het niveau van afzonderlijke containers. Voor centraal beheer van containers die zijn uitgerold in een cluster van meerdere servers, wordt het LXD-systeem ontwikkeld op basis van LXC. De tak LXC 5.0 behoort tot de long-term support-releases, waarvoor updates gedurende 5 jaar worden aangeboden. De LXC-code is geschreven in de programmeertaal C en wordt verspreid onder de GPLv2-licentie.
LXC omvat de bibliotheek liblxc, een pakket hulpprogramma's (lxc-create, lxc-start, lxc-stop, lxc-ls, enz.), sjablonen voor het opbouwen van containers en een set bindings voor verschillende programmeertalen. Isolatie wordt gerealiseerd met behulp van de standaardmechanismen van de Linux-kernel. Voor het isoleren van processen, netwerkstacks ipc, uts, gebruikers-ID's en mountpunten wordt het mechanisme van namespaces gebruikt. Voor het beperken van middelen worden cgroups toegepast. Voor het verlagen van rechten en het beperken van toegang zijn mogelijkheden van de kernel zoals Apparmor-profielen, SELinux, Seccomp-beleidsregels, Chroots (pivot_root) en capabilities in gebruik.
Belangrijkste wijzigingen:
- De overgang van autotools naar het build-systeem Meson is uitgevoerd, dat ook wordt gebruikt voor het bouwen van projecten zoals X.Org Server, Mesa, Lighttpd, systemd, GStreamer, Wayland, GNOME en GTK.
- Nieuwe opties voor cgroup-configuratie zijn toegevoegd ā lxc.cgroup.dir.container, lxc.cgroup.dir.monitor, lxc.cgroup.dir.monitor.pivot en lxc.cgroup.dir.container.inner, die het mogelijk maken om expliciet de cgroup-paden voor de container, het monitorproces en geneste cgroup-hiĆ«rarchieĆ«n te definiĆ«ren.
- Ondersteuning voor tijdnamespace voor het binden van een afzonderlijke staat van de systeemklok aan de container is toegevoegd, waardoor de container zijn eigen tijd kan gebruiken die verschilt van de systeemtijd. Voor configuratie zijn er de opties lxc.time.offset.boot en lxc.time.offset.monotonic, waarmee het tijdsverschil ten opzichte van de hoofdsysteemklok kan worden bepaald.
- Voor virtuele ethernet-adapters (Veth) is ondersteuning voor VLAN geĆÆmplementeerd. Voor het beheren van VLAN zijn er opties voorgesteld: veth.vlan.id voor het instellen van de basis-VLAN en veth.vlan.tagged.id voor het binden van aanvullende getagde VLAN's.
- Voor virtuele ethernet-adapters is de mogelijkheid om de grootte van ontvangstantennes en transmissiequeues te configureren toegevoegd met nieuwe opties veth.n_rxqueues en veth.n_txqueues.
Bron: opennet.ru
