Compania SUSE a lansat al treilea prototip al platformei ALP „Piz Bernina” (Adaptable Linux Platform), poziționată ca o continuare a dezvoltării distribuției SUSE Linux Enterprise. Cea mai importantă diferență a ALP este separarea bazei fundamentale a distribuției în două părți: un „host OS” redus pentru operarea deasupra hardware-ului și un strat pentru suportul aplicațiilor, axat pe rularea în containere și mașini virtuale. ALP se dezvoltă inițial printr-un proces deschis de dezvoltare, în cadrul căruia versiunile intermediare și rezultatele testării sunt public disponibile pentru toți cei interesați.
Al treilea prototip include două ramuri distincte, care în forma actuală sunt apropiate în conținut, dar care vor evolua în direcții diferite in viitor și vor varia în funcțiile oferite. Pentru testare, este disponibilă ramura Bedrock, axată pe utilizarea în sisteme server, și ramura Micro, destinată construcției de sisteme cloud-native și rulării microserviciilor. Versiunile finale sunt pregătite pentru arhitectura x86_64 (Bedrock, Micro). De asemenea, sunt disponibile scenarii de construcție (Bedrock, Micro) pentru arhitecturile Aarch64, PPC64le și s390x.
Arhitectura ALP se bazează pe dezvoltarea unui mediu „host OS”, minim necesar pentru suportul și gestionarea hardware-ului. Toate aplicațiile și componentele spațiului utilizator sunt propuse pentru a fi rulate nu într-un mediu mixt, ci în containere separate sau în virtuálne mašini, executate deasupra „host OS” și izolate una de cealaltă. O astfel de organizare va permite utilizatorilor să se concentreze pe aplicații și să abstreacă fluxurile de lucru, separându-le de mediul sistemic de bază și de echipament.
Ca bază pentru „host OS” este utilizat produsul SLE Micro, bazat pe lucrările proiectului MicroOS. Pentru gestionarea centralizată se propun sisteme de gestionare a configurației Salt (preinstalat) și Ansible (opțional). Pentru rularea containerelor izolate sunt disponibile instrumentele Podman și K3s (Kubernetes). Printre componentele sistemului mutate în containere se numără yast2, podman, k3s, cockpit, GDM (GNOME Display Manager) și KVM.
Printre caracteristicile mediului sistemic se menționează utilizarea, în mod implicit, a criptării complete a discului (FDE, Full Disk Encryption) cu posibilitatea de stocare a cheilor în TPM. Partiția de bază este montată în modul doar pentru citire și nu se modifică în timpul funcționării. În mediu se aplică mecanismul de instalare atomică a actualizărilor. Spre deosebire de actualizările atomice bazate pe ostree și snap, utilizate în Fedora și Ubuntu, în ALP, în loc de construirea de imagini atomice separate și desfășurarea unei infrastructuri suplimentare de livrare, se utilizează managerul de pachete standard și mecanismul de instantanee în FS Btrfs.
Se preconizează un mod configurabil de instalare automată a actualizărilor (de exemplu, se poate activa auto-instalarea doar a corecțiilor pentru vulnerabilitățile critice sau se poate reveni la confirmarea manuală a instalării actualizărilor). Pentru actualizarea nucleului Linux fără repornire și suspendarea activității, sunt acceptate patch-uri live. Pentru menținerea rezilienței sistemului (self-healing), se realizează fixarea ultimei stări stabile prin intermediul snapshot-urilor Btrfs (în caz de detectare a anomaliilor după aplicarea actualizărilor sau modificarea setărilor, sistemul este automat revertat la starea anterioară).
În platformă se utilizează un stivă software multi-version — datorită utilizării containerelor, pot fi folosite simultan versiuni diferite ale instrumentelor și aplicațiilor. De exemplu, pot fi rulate aplicații care utilizează versiuni diferite de Python, Java și Node.js în dependențe, separând dependențele incompatibile. Dependențele de bază sunt livrate sub formă de seturi BCI (Base Container Images). Utilizatorul poate crea, actualiza și șterge stive software fără a afecta alte medii.
Pentru instalare, se utilizează instalatorul D-Installer, în care interfața utilizatorului este separată de componentele interne YaST și există posibilitatea de a folosi diferite frontend-uri, inclusiv un frontend pentru gestionarea instalării printr-o interfață web. Se sprijină execuția clienților YaST (bootloader, iSCSIClient, Kdump, firewall etc.) în containere separate.
Cele mai importante schimbări în al treilea prototip ALP:
- Furnizarea unui mediu de execuție de încredere (Trusted Execution Environment) pentru calcule confidențiale, care permite procesarea sigură a datelor folosind izolare, criptare și mașini virtuale.
- Utilizarea atestării hardware și runtime pentru a verifica integritatea sarcinilor în execuție.
- Baza pentru suportul mașinilor virtuale confidențiale (CVM, Confidential Virtual Machine).
- Integrarea suportului platformei NeuVector pentru verificarea securității containerelor, identificarea componentelor vulnerabile și detectarea activităților malware.
- Suport pentru arhitectura s390x, pe lângă x86_64 și aarch64.
- Posibilitatea activării criptării complete a discului (FDE, Full Disk Encryption) în timpul instalării, cu stocarea cheilor în TPMv2 și fără a fi necesară introducerea unei fraze de parolă în timpul primei încărcări. Suport echivalent atât pentru criptarea partițiilor obișnuite, cât și pentru cele LVM (Logical Volume Manager).
Sursa: opennet.ro
