SUSE heeft de derde prototype van het ALP-platform "Piz Bernina" (Adaptable Linux Platform) gepubliceerd, dat gepositioneerd is als een voortzetting van de ontwikkeling van de SUSE Linux Enterprise-distributie. Het belangrijkste onderscheid van ALP is de splitsing van de basis van de distributie in twee delen: een verkorte "host OS" voor werking bovenop de hardware en een laag ter ondersteuning van toepassingen, gericht op uitvoering in containers en virtuele machines. ALP wordt oorspronkelijk ontwikkeld met behulp van een open ontwikkelproces, waarbij tussentijdse builds en testresultaten openbaar beschikbaar zijn voor iedereen die dat wenst.
De derde prototype bevat twee afzonderlijke takken, die in hun huidige vorm vergelijkbaar zijn qua inhoud, maar in de toekomst zullen evolueren in verschillende toepassingsgebieden en zullen verschillen in de aangeboden diensten. Voor testdoeleinden is er de Bedrock-tak, gericht op gebruik in serversystemen, en de Micro-tak, die is ontworpen voor het opbouwen van cloud-native systemen en het uitvoeren van microservices. Voltooide builds zijn voorbereid voor de x86_64-architectuur (Bedrock, Micro). Daarnaast zijn er buildscripts beschikbaar (Bedrock, Micro) voor de Aarch64-, PPC64le- en s390x-architecturen.
De architectuur van ALP is gebaseerd op de ontwikkeling van een "host OS"-omgeving, minimaal nodig om de hardware te ondersteunen en te beheren. Alle toepassingen en componenten van de gebruikersruimte worden voorgesteld om niet in een gemengde omgeving te draaien, maar in afzonderlijke containers of in virtuele machines, uitgevoerd bovenop de "host OS" en van elkaar geïsoleerd. Deze organisatie stelt gebruikers in staat zich te concentreren op toepassingen en de werkprocessen te abstraheren, door deze te scheiden van de low-level systeemomgeving en hardware.
Als basis voor 'host OS' wordt het product SLE Micro gebruikt, gebaseerd op de ervaringen van het MicroOS-project. Voor gecentraliseerd beheer worden configuratiebeheersystemen aangeboden zoals Salt (vooraf geïnstalleerd) en Ansible (optie). Voor het draaien van geïsoleerde containers zijn de tools Podman en K3s (Kubernetes) beschikbaar. Onder de systeemcomponenten die in containers zijn geplaatst, bevinden zich yast2, podman, k3s, cockpit, GDM (GNOME Display Manager) en KVM.
Onder de kenmerken van de systeemomgeving wordt het standaard gebruik van schijfversleuteling (FDE, Full Disk Encryption) genoemd, met de mogelijkheid om sleutels in TPM op te slaan. De root-partitie wordt gemonteerd in alleen-lezen modus en verandert niet tijdens het draaien. In de omgeving wordt een mechanisme voor atomair installatie van updates toegepast. In tegenstelling tot atomische updates op basis van ostree en snap, gebruikt in Fedora en Ubuntu, maakt ALP gebruik van een standaard pakketbeheerder en snapshots in het Btrfs-bestandssysteem.
Er is een configureerbare modus voor automatische updates, waarmee je bijvoorbeeld alleen de automatische installatie van kritieke beveiligingspatches kunt inschakelen of terug kunt schakelen naar handmatige bevestiging van de installatie van updates. Voor het bijwerken van de Linux-kernel zonder herstart en onderbreking van de werking worden live patches ondersteund. Om de veerkracht van het systeem (self-healing) te waarborgen, wordt de laatste stabiele staat vastgelegd met behulp van Btrfs-snapshots (wanneer anomaliën worden ontdekt na het toepassen van updates of wijzigingen in de instellingen, wordt het systeem automatisch teruggezet naar de vorige staat).
Op het platform wordt een multi-versie softwarestack toegepast - dankzij het gebruik van containers kunnen verschillende versies van tools en applicaties tegelijk worden gebruikt. U kunt bijvoorbeeld applicaties uitvoeren die verschillende versies van Python, Java en Node.js in hun afhankelijkheden gebruiken, waarbij incompatibele afhankelijkheden worden gescheiden. De basisafhankelijkheden worden geleverd in de vorm van BCI-kits (Base Container Images). De gebruiker kan softwarestacks maken, bijwerken en verwijderen zonder andere omgevingen te beïnvloeden.
Voor de installatie wordt de D-Installer gebruikt, waarin de gebruikersinterface is gescheiden van de interne componenten van YaST en de mogelijkheid bestaat verschillende front-ends te gebruiken, inclusief een front-end voor installatiebeheer via een webinterface. Het uitvoeren van YaST-clients (bootloader, iSCSIClient, Kdump, firewall enz.) in afzonderlijke containers wordt ondersteund.
Belangrijkste wijzigingen in de derde prototype van ALP:
- Het bieden van een betrouwbare omgeving (Trusted Execution Environment) voor vertrouwelijke berekeningen, waarmee gegevens veilig kunnen worden verwerkt met behulp van isolatie en encryptie. virtuele machines.
- Toepassing van hardware- en runtime-attestatie voor het controleren van de integriteit van de uitgevoerde taken.
- Basis voor ondersteuning van vertrouwelijke virtuele machines (CVM, Confidential Virtual Machine).
- Integratie van ondersteuning voor het NeuVector-platform voor het controleren van de beveiliging van containers, het identificeren van kwetsbare componenten en het detecteren van kwaadaardige activiteiten.
- Ondersteuning voor de s390x-architectuur naast x86_64 en aarch64.
- Mogelijkheid om tijdens de installatie volledige schijfversleuteling (FDE, Full Disk Encryption) in te schakelen met sleutelopslag in TPMv2 en zonder dat een wachtwoordzin tijdens de eerste opstart hoeft te worden ingevoerd. Gelijke ondersteuning voor zowel het versleutelen van reguliere partities als LVM (Logical Volume Manager) partities.
Bron: opennet.ru
