A empresa SUSE publicou o terceiro protótipo da plataforma ALP "Piz Bernina" (Adaptable Linux Platform), que é posicionada como uma continuidade do desenvolvimento da distribuição SUSE Linux Enterprise. A principal diferença do ALP é a separação da base da distribuição em duas partes: um "host OS" reduzido para operar diretamente no hardware e uma camada de suporte a aplicativos, focada na execução em contêineres e máquinas virtuais. O ALP é inicialmente desenvolvido usando um processo aberto de desenvolvimento, onde compilações intermediárias e resultados de testes estão publicamente disponíveis para todos os interessados.
O terceiro protótipo inclui duas ramificações distintas, que atualmente são semelhantes em termos de conteúdo, mas que no futuro se desenvolverão em direções diferentes e terão serviços distintos. Para testes, está disponível a ramificação Bedrock, voltada para uso em sistemas de servidores, e a ramificação Micro, destinada à construção de sistemas em nuvem (cloud-native) e à execução de microsserviços. Compilações prontas foram preparadas para a arquitetura x86_64 (Bedrock, Micro). Além disso, estão disponíveis scripts de construção (Bedrock, Micro) para as arquiteturas Aarch64, PPC64le e s390x.
A arquitetura da ALP é baseada no desenvolvimento do ambiente "host OS", minimamente necessário para suportar e gerenciar o hardware. Todos os aplicativos e componentes do espaço do usuário devem ser executados não em um ambiente misto, mas em contêineres separados ou em máquinas virtuais, executados sobre o "host OS" e isolados uns dos outros. Essa organização permitirá que os usuários se concentrem nos aplicativos e abstraiam os processos de trabalho, separando-os do ambiente e hardware de sistema de baixo nível.
Como base para o "host OS", foi utilizado o produto SLE Micro, que se baseia nos avanços do projeto MicroOS. Para gerenciamento centralizado, são oferecidos sistemas de gerenciamento de configuração Salt (pré-instalado) e Ansible (opcional). Para a execução de contêineres isolados, estão disponíveis as ferramentas Podman e K3s (Kubernetes). Entre os componentes do sistema transferidos para contêineres, estão yast2, podman, k3s, cockpit, GDM (GNOME Display Manager) e KVM.
Uma das características do ambiente do sistema é o uso padrão da criptografia de disco completo (FDE, Full Disk Encryption) com a opção de armazenar chaves no TPM. A partição raiz é montada em modo apenas leitura e não é alterada durante a operação. O ambiente utiliza um mecanismo de instalação atômica de atualizações. Diferente das atualizações atômicas baseadas em ostree e snap, utilizadas no Fedora e Ubuntu, na ALP, em vez da construção de imagens atômicas separadas e a implementação de infraestrutura de entrega adicional, são utilizados o gerenciador de pacotes padrão e o mecanismo de snapshots no sistema de arquivos Btrfs.
Um modo de instalação automática de atualizações personalizável é oferecido (por exemplo, você pode habilitar a instalação automática apenas para correções de vulnerabilidades críticas ou retornar à confirmação manual da instalação de atualizações). Para a atualização do kernel Linux sem reinicialização e interrupção do funcionamento, são suportados live patches. Para manter a resiliência do sistema (self-healing), é realizado o registro do último estado estável através de snapshots Btrfs (em caso de anomalias detectadas após a aplicação de atualizações ou alterações de configurações, o sistema é automaticamente revertido para o estado anterior).
A plataforma utiliza uma pilha de software multiversionada — graças ao uso de contêineres, diferentes versões de ferramentas e aplicativos podem ser utilizadas simultaneamente. Por exemplo, aplicações que dependem de diferentes versões do Python, Java e Node.js podem ser executadas, isolando dependências incompatíveis. As dependências básicas são fornecidas na forma de conjuntos BCI (Base Container Images). O usuário pode criar, atualizar e excluir pilhas de software sem afetar outros ambientes.
Para a instalação, é utilizado o instalador D-Installer, onde a interface do usuário é separada dos componentes internos do YaST, e é possível utilizar diferentes front-ends, incluindo um front-end para gerenciar a instalação através de uma interface web. É suportada a execução de clientes YaST (bootloader, iSCSIClient, Kdump, firewall, etc.) em contêineres separados.
As principais mudanças no terceiro protótipo do ALP:
- Fornecimento de um ambiente confiável (Trusted Execution Environment) para computações confidenciais, permitindo o processamento seguro de dados com o uso de isolamento, criptografia e máquinas virtuais.
- Aplicação de atestação de hardware e runtime para verificar a integridade das tarefas executadas.
- Base para suporte a máquinas virtuais confidenciais (CVM, Confidential Virtual Machine).
- Integração do suporte à plataforma NeuVector para verificação de segurança de contêineres, identificação de componentes vulneráveis e detecção de atividades maliciosas.
- Suporte à arquitetura s390x além de x86_64 e aarch64.
- Possibilidade de ativação da criptografia de disco completo (FDE, Full Disk Encryption) durante a instalação, com armazenamento de chaves no TPMv2 e sem necessidade de inserir uma frase de senha na primeira inicialização. Suporte equivalente tanto para a criptografia de partições comuns quanto para partições LVM (Logical Volume Manager).
Fonte: opennet.ru
