Iprototype yesithathu yeqonga le-ALP elithatha indawo ye-SUSE Linux Enterprise

Компания SUSE опубликовала третий прототип платформы ALP «Piz Bernina» (Adaptable Linux Platform), позиционируемой как продолжение развития дистрибутива SUSE Linux Enterprise. Ключевым отличием ALP является разделение базовой основы дистрибутива на две части: урезанную «host OS» для работы поверх оборудования и слой для поддержки приложений, ориентированный на запуск в контейнерах и виртуальных машинах. ALP изначально развивается с использованием открытого процесса разработки, при котором промежуточные сборки и результаты тестирования публично доступны всем желающим.

Третий прототип включает в себя две отдельные ветки, которые в текущем виде близки по начинке, но в будущем будут развиваться в направлении разных областей применения и будут отличаться предоставляемыми сервисами. Для тестирования доступна ветка Bedrock, ориентированная на использование в серверных системах, и ветка Micro, рассчитанная для построения облачных систем (cloud-native) и запуска микросервисов. Готовые сборки подготовлены для архитектуры x86_64 (Bedrock, Micro). Дополнительно доступны сборочные сценарии (Bedrock, Micro) для архитектур Aarch64, PPC64le и s390x.

Архитектура ALP основана на развитии в «host OS» окружения, минимально необходимого для поддержки и управления оборудованием. Все приложения и компоненты пространства пользователя предлагается запускать не в смешанном окружении, а в отдельных контейнерах или в виртуальных машинах, выполняемых поверх «host OS» и изолированных друг от друга. Подобная организация позволит пользователям сфокусировать внимание на приложениях и абстрагировать рабочие процессы, отделив их от низкоуровневого системного окружения и оборудования.

Imveliso ye-SLE Micro, esekelwe kuphuhliso lweprojekthi ye-MicroOS, isetyenziswe njengesiseko se-"host OS". Kulawulo olusembindini, iTyuwa (efakwe ngaphambili) kunye neSistim (ukhetho) yolawulo loqwalaselo luyanikezelwa. Izixhobo ze-Podman kunye ne-K3s (Kubernetes) ziyafumaneka ukuze ziqhube izikhongozeli ezizimeleyo. Amacandelo enkqubo equlathelweyo aquka yast2, podman, k3s, cockpit, GDM (GNOME Display Manager), kunye ne-KVM.

Kwimpawu zemeko yendawo, usetyenziso olungagqibekanga loguqulelo oluntsonkothileyo lwedisk (FDE, Ufihlo lweDiski egcweleyo) lukhankanyiwe ngokukwazi ukugcina izitshixo kwiTPM. Ukwahlula kwengcambu kufakwe kwindlela yokufunda kuphela kwaye ayitshintshi ngexesha lokusebenza. Imo engqongileyo isebenzisa indlela yofakelo lohlaziyo lweathom. Ngokungafani nohlaziyo lwe-athomu olusekwe kwi-ostree kunye ne-snap esetyenziswe kwi-Fedora kunye ne-Ubuntu, kwi-ALP, endaweni yokwakha imifanekiso ye-athomu eyahlukileyo kunye nokuhambisa iziseko zokuhambisa ezongezelelweyo, umphathi wephakheji oqhelekileyo kunye ne-snapshot ye-snapshot kwinkqubo yefayile ye-Btrfs isetyenziswa.

Предусмотрен настраиваемый режим автоматической установки обновлений (например, можно включить автоустановку только исправлений критических уязвимостей или вернуться к ручному подтверждения установки обновлений). Для обновления ядра Linux без перезапуска и приостановки работы поддерживаются live-патчи. Для поддержания живучести системы (self-healing) осуществляется фиксация последнего стабильного состояние при помощи снапшотов Btrfs (в случае выявление аномалий после применения обновлений или изменения настроек система автоматически переводится в предыдущее состояние).

В платформе применяется многоверсионный программный стек — благодаря применению контейнеров можно одновременно использовать разные версии инструментов и приложений. Например, можно запускать приложения, использующие в зависимостях разные версии Python, Java и Node.js, разделяя несовместимые между собой зависимости. Базовые зависимости поставляются в форме наборов BCI (Base Container Images). Пользователь может создавать, обновлять и удалять программные стеки не затрагивая другие окружения.

Для установки применяется инсталлятор D-Installer, в котором пользовательский интерфейс отделён от внутренних компонентов YaST и имеется возможность использования различных фронтэндов, в том числе фронтэнда для управления установкой через web-интерфейс. Поддерживается выполнение клиентов YaST (bootloader, iSCSIClient, Kdump, firewall и т.п.) в отдельных контейнерах.

Основные изменения в третьем прототипе ALP:

• Предоставление заслуживающего доверия окружения (Trusted Execution Environment) для конфиденциальных вычислений, позволяющее безопасно обрабатывать данные с использованием изоляции, шифрования и виртуальных машин.
• Применение аппаратной и runtime аттестации для проверки целостности выполняемых задач.
• Базис для поддержки конфиденциальных виртуальных машин (CVM, Confidential Virtual Machine).
• Интеграция поддержи платформы NeuVector для проверки безопасности контейнеров, определения наличия уязвимых компонентов и выявления вредоносной активности.
• Поддержка архитектуры s390x в дополнение к x86_64 и aarch64.
• Возможность включения на этапе инсталляции полнодискового шифрования (FDE, Full Disk Encryption) с хранением ключей в TPMv2 и без необходимости ввода парольной фразы во время первой загрузки. Эквивалентная поддержка как шифрования обычных разделов, так и разделов LVM (Logical Volume Manager).

umthombo: opennet.ru