8.7 KB · ⇊ 3 parts · ⤓ Micron 8.7 KB · ⤓ HTML 27.6 KB

top

mwbqLXC (abbreviazione di mwbgLinux Containers) è un ambiente di mwbwvirtualizzazione a mwcacontainer, che opera a livello del mwcqsistema operativo e permette di eseguire diversi ambienti mwcgLinux virtuali isolati tra loro (mwcwcontainer) su una singola macchina reale avente il mwdakernel Linux.

• Panoramica

• LXC e il kernel Linux

• PaaS e Docker

• Problemi di sicurezza

• Note

• Voci correlate

• Altri progetti

• Collegamenti esterni

È simile ad altri sistemi di virtualizzazione mweaOS-level presenti in Linux, come OpenVZ e Linux-VServer, ed in altri sistemi operativi mwewUnix, esistenti da tempo: le mwfajail di mwfqFreeBSD, le mwfgworkload partitions mwfwAIX e i mwgacontainer di mwgqSolaris.

Non si tratta perciò di un sistema di virtualizzazione vero e proprio, che emula un mwgwhardware basandosi su mwhahypervisor, e supporta solo la virtualizzazione di sistemi Linux. I mwhqcontainer eseguono direttamente istruzioni sulla mwhgCPU senza necessitare di meccanismi di emulazione o compilazione mwhwmwiajust in time, il che comporta un mwiqmwigoverhead ("carico aggiuntivo") e un utilizzo di risorse più elevato. Oltre che per emulare un intero sistema, LXC può essere utilizzato anche per far girare isolata dal resto del sistema una singola applicazione, differenziando i container di tipo "sistema" da quelli di tipo "applicazione". Diverse delle risorse utilizzate dai container restano in realtà condivise, visto che tutti utilizzano lo stesso kernel, ad esempio librerie di sistema.cite-ref-1[1]

Il mwkqkernel Linux fornisce due funzionalità fondamentali per LXC

1. mwlacgroups, che permette di gestire limiti e priorità di utilizzo delle risorse (CPU, memoria, accesso alla memoria, accessi ai dischi, rete) senza dover utilizzare una vera e propria macchina virtuale;

2. l'isolamento dei mwlgnamespace (o spazio dei nomi), che permette di isolare tra loro gruppi di processi, affinché non siano loro visibili risorse utilizzate da altri gruppi di processi, come alberi di mwlwprocessi, risorse di rete, mwmauser ID e mwmqfile system mwmgmontati.cite-ref-2[2]

Tali funzionalità sono fornite dal kernel mwoavanilla; la funzionalità cgroups è ad esempio implementata dalla versione 2.6.24. Ciò permette a LXC di poter essere utilizzato senza dover modificare il kernel con mwoqpatch, come invece accade per soluzioni simili (es. OpenVZ).

I container sono molto utilizzati nei servizi di mwpacloud computing di tipo mwpqPlatform as a service (mwpgPaaS). Uno degli strumenti che permette di pacchettizzare e distribuire un'applicazione e le sue dipendenze tramite container ed utilizza LXC è il software libero mwpwDocker.

In origine LXC era visibilmente meno sicuro di altre soluzioni simili come OpenVZ. Infatti fino al kernel Linux 3.8 l'utente mwqgroot di un sistema guest poteva eseguire a piacere codice direttamente sul sistema host coi privilegi massimi, similmente a quanto accade con mwqwchroot.cite-ref-3[3] Dalla versione 1.0 i container possono venire eseguiti con i privilegi di utente normale sull'host.cite-ref-lxc-1-0-security-features-4-0[4] Tali container hanno dei limiti, in quanto non possono accedere direttamente all'hardware. In ogni caso anche il livello di sicurezza dei container che vengono fatti girare con i privilegi di root è aumentato, in presenza di una configurazione adeguata.cite-ref-lxc-1-0-security-features-4-1[4]

cite-note-11. ↑ mwvgMatt Helsley, mwvwmwwaLXC: Linux container tools, su mwwqibm.com, IBM developerworks, 3 febbraio 2009. mwwgURL consultato il 28 marzo 2015.

cite-note-22. ↑ mwxgRami Rosen, mwxwmwyaResource management: Linux kernel namespaces and cgroups (mwyqmwygPDF), su mwywcs.ucsb.edu, maggio 2013. mwzaURL consultato il 28 marzo 2015 mwzq(archiviato dall'mwzgurl originale l'11 febbraio 2015).

cite-note-33. ↑ mwagMarco d'Itri, mwawmwbaEvading from linux containers, su mwbqblog.bofh.it, 2011. mwbgURL consultato il 28 marzo 2015 mwbw(archiviato dall'mwcaurl originale il 9 gennaio 2014).

cite-note-lxc-1-0-security-features-44. ↑ mwdgStéphane Graber, mwdwmweaLXC 1.0: Security features mweq[6/10mweg], su mwewstgraber.org, 1º gennaio 2014. mwfaURL consultato il 28 marzo 2015.

• mwgaVirtualizzazione

• mwggLinux (kernel)

Altri progetti

• Wikimedia Commons

• Wikimedia Commons contiene immagini o altri file su LXC

• (EN) Sito ufficiale, su linuxcontainers.org.

• (JA) Sito ufficiale, su linuxcontainers.org.

• (DE) Sito ufficiale, su linuxcontainers.org.

• (ID) Sito ufficiale, su linuxcontainers.org.

• (FR) Sito ufficiale, su linuxcontainers.org.

• (ZH) Sito ufficiale, su linuxcontainers.org.

• citerefsourceforge(EN) LXC, su SourceForge.

• LXC, su packages.debian.org.

• citerefgithub(EN) LXC, su GitHub.

• Repository sorgenti di LXC, su github.com.

• mwiqArticolo su LWN LSS: Secure Linux containers, su lwn.net.