Den tredje prototypen av plattformen ALP, som ersätter SUSE Linux Enterprise

SUSE har publicerat den tredje prototypen av ALP-plattformen "Piz Bernina" (Adaptable Linux Platform), som positioneras som en fortsättning på utvecklingen av SUSE Linux Enterprise-distributionen. En nyckelskillnad i ALP är uppdelningen av distributionsbasen i två delar: en komprimerad "host OS" för drift ovanpå hårdvaran och ett lager för applikationssupport, inriktad på körning i containrar och virtuella maskiner. ALP utvecklas från början med en öppen utvecklingsprocess, där mellanliggande byggen och testresultat är offentligt tillgängliga för alla intresserade.

Den tredje prototypen innehåller två separata grenar, som i nuvarande form är nära varandra, men i framtiden kommer att utvecklas mot olika tillämpningsområden och skilja sig åt i de tjänster som erbjuds. För testning är grenen Bedrock tillgänglig, som är inriktad på användning i serversystem, och grenen Micro, som är avsedd för att bygga molnsystem (cloud-native) och köra mikrotjänster. Färdiga byggnader är förberedda för x86_64-arkitektur (Bedrock, Micro). Dessutom finns byggscenarier (Bedrock, Micro) tillgängliga för Aarch64-, PPC64le- och s390x-arkitekturer.

ALP-arkitekturen bygger på utveckling i "host OS"-miljön, vilket är minimalt nödvändigt för att stödja och hantera hårdvaran. Alla applikationer och användarrumskomponenter föreslås köras inte i en blandad miljö, utan i separata containrar eller i virtuella maskiner, som körs ovanpå "host OS" och är isolerade från varandra. En sådan organisation kommer att möjliggöra för användare att fokusera på applikationerna och abstrahera arbetsflöden, separera dem från den låg nivå systemmiljön och hårdvaran.

Som grund för "host OS" används produkten SLE Micro, som bygger på prototyperna från projektet MicroOS. För centraliserad hantering erbjuds konfigurationshanteringssystemen Salt (förinstallerad) och Ansible (alternativ). För att köra isolerade containrar finns verktygen Podman och K3s (Kubernetes). Bland de systemkomponenter som har flyttats till containrarna finns yast2, podman, k3s, cockpit, GDM (GNOME Display Manager) och KVM.

Bland funktionerna i systemmiljön nämns användningen av diskryptering som standard (FDE, Full Disk Encryption) med möjlighet att lagra nycklar i TPM. Rotpartitionen monteras i skrivskyddat läge och förändras inte under drift. Det finns en mekanism för atomära uppdateringar i miljön. Till skillnad från atomära uppdateringar baserade på ostree och snap, som används i Fedora och Ubuntu, används i ALP standardpakethanteraren och snapshots i Btrfs-filsystemet istället för att bygga separata atomära bilder och distribuera ytterligare infrastruktur för leverans.

Det finns en anpassningsbar automatisk uppdateringsinställning (till exempel kan man aktivera automatisk installation av endast kritiska sårbarhetsfixar eller återgå till manuell bekräftelse av uppdateringar). För att uppdatera Linux-kärnan utan omstart och avbrott stödjs livsläpp (live patches). För att upprätthålla systemets livskraft (self-healing) används Btrfs-snapshots för att fastställa det senaste stabila tillståndet (om avvikelser upptäcks efter uppdateringar eller inställningsändringar återställs systemet automatiskt till det föregående tillståndet).

Plattformen använder en flerversionsprogramvarustack – genom att använda containrar kan olika versioner av verktyg och applikationer användas samtidigt. Till exempel kan applikationer som har olika versioner av Python, Java och Node.js som beroenden köras, vilket separerar inkompatibla beroenden. Grundläggande beroenden tillhandahålls i form av BCI-paket (Base Container Images). Användaren kan skapa, uppdatera och ta bort programvarustackar utan att påverka andra miljöer.

För installationen används installationsprogrammet D-Installer, där användargränssnittet är åtskilt från de interna komponenterna i YaST och det finns möjlighet att använda olika frontend, inklusive en frontend för att hantera installationen via webbgränssnittet. Stöd för att köra YaST-klienter (bootloader, iSCSIClient, Kdump, brandvägg, osv.) i separata containrar.

De viktigaste förändringarna i den tredje prototypen av ALP:

• Tillhandahållande av en pålitlig miljö (Trusted Execution Environment) för konfidentiella beräkningar, som gör det möjligt att säkert bearbeta data med hjälp av isolering och kryptering. virtuella maskiner.
• Tillämpning av hårdvaru- och runtime-certifiering för att verifiera integriteten av de körande uppgifterna.
• Grunden för att stödja konfidentiella virtuella maskiner (CVM, Confidential Virtual Machine).
• Integration av plattformen NeuVector för att kontrollera säkerheten hos containrar, identifiera sårbara komponenter och upptäcka skadlig aktivitet.
• Stöd för s390x-arkitekturen utöver x86_64 och aarch64.
• Möjlighet att aktivera full diskräkning (FDE, Full Disk Encryption) under installationssteget, med lagring av nycklar i TPMv2 utan behov av att ange ett lösenord under första start. Motsvarande stöd för kryptering av både vanliga partitioner och LVM-partitioner (Logical Volume Manager).

Källa: opennet.ru