A Comunidade Linux Containers lançou a versão 7.0 da ferramenta para gerenciamento de contêineres isolados LXC, que oferece um tempo de execução adequado tanto para a execução de contêineres com um ambiente de sistema completo, semelhantes a máquinas virtuais, quanto para a execução de contêineres de aplicativos não privilegiados (OCI). O LXC é uma ferramenta de baixo nível que opera no nível de contêineres individuais. Para gerenciamento centralizado de contêineres implantados em um cluster de vários servidores, os sistemas Incus e LXD estão sendo desenvolvidos com base no LXC. A versão LXC 7.0 é uma versão com suporte a longo prazo, com atualizações sendo fornecidas por 5 anos (até 2031). O código LXC é escrito na linguagem C e distribuído sob a licença GPLv2.
O LXC inclui a biblioteca liblxc, um conjunto de utilitários (lxc-create, lxc-start, lxc-stop, lxc-ls, etc.), templates para construção de contêineres e um conjunto de bindings para várias linguagens de programação. A isolação é realizada através dos mecanismos nativos do núcleo Linux. Para a isolação de processos, pilha de rede ipc, uts, identificadores de usuários e pontos de montagem, é utilizado o mecanismo de namespaces. Para limitar recursos, são utilizados cgroups. Para reduzir privilégios e limitar acesso, são usadas funcionalidades do núcleo como perfis Apparmor e SELinux, políticas Seccomp, Chroots (pivot_root) e capabilities.
Principais mudanças:
- Isolamento do processo de monitoramento foi implementado através do mecanismo Landlock, permitindo que programas não privilegiados descartem permissões desnecessárias para seu funcionamento, limitando voluntariamente seu acesso à sistema para aumentar a segurança. O Landlock é utilizado para restringir os manipuladores de API de monitoramento para que operem apenas com o contêiner e proíbir o acesso a arquivos fora dele. A proteção é aplicada ao compilar o landlock-monitor.
- A configuração de manipuladores (hooks) e contêineres (runtime) foi separada. Novas configurações lxc.environment.hooks e lxc.environment.runtime foram adicionadas, permitindo definir variáveis de ambiente apenas para contêineres, sem transmiti-las aos manipuladores, e vice-versa.
- O suporte para cgroup v1 foi descontinuado, assim como para núcleos Linux que não suportam PIDFD e a nova API de controle de montagem.
- Uma vulnerabilidade (CVE-2026-39402) foi corrigida, permitindo contornar a autorização e remover portas OVS (OpenVswitch) por meio da manipulação do comando "lxc-user-nic delete". A vulnerabilidade permite que um usuário não privilegiado desative interfaces de rede para contêineres em execução por outros usuários.
Além disso, a Canonical lançou uma nova versão do sistema de gerenciamento de contêineres LXD 6.8. O LXD fornece ferramentas para gerenciamento centralizado de contêineres e máquinas virtuais, implantados tanto em um único host quanto em um cluster de vários. servidores. O projeto é implementado como um processo em segundo plano que recebe solicitações pela rede através do REST API e suporta vários backends de armazenamento (árvore de diretórios, ZFS, Btrfs, LVM), snapshots com recorte de estados, migração ao vivo de contêineres em funcionamento de uma máquina para outra e ferramentas para armazenamento de imagens de contêineres. A ferramenta LXC é usada como runtime para executar contêineres.
Entre as mudanças no LXD 6.8:
- Adicionada a função de ligação de clusters (Cluster links), permitindo a organização de interações seguras e autenticadas através de certificados TLS diferentes clusters LXD. Para gerenciar a ligação, foi adicionada o comando «lxc cluster link» e uma seção correspondente foi implementada na interface web.
- Adicionada um novo papel para os nós do cluster — «control-plane», que permite destacar os nós que participam na definição do consenso Raft e que podem atuar como nós de reserva ou nó mestre do banco de dados.
- Implementados replicadores que permitem usar a API Cluster links para replicar o conteúdo dos nós para outros clusters LXD, com o objetivo de garantir alta disponibilidade.
- Adicionada suporte ao hot-plug de dispositivos GPU CDI (Container Device Interface) em contêineres em funcionamento.
- No driver de armazenamento Ceph, foi adicionada a suporte ao protocolo msgr2 (Ceph messenger v2).
- Na interface web, foram adicionadas ferramentas para gerenciamento de papéis de nós do cluster, modernizado o editor de configurações no formato YAML, implementado um emulador de terminal estilizado para Ubuntu, e melhorada a seleção de drivers de armazenamento.
Fonte: opennet.ru
