Вышли RHEL 5.4 и RHN Satellite 5.3

Вчера одновременно вышли очередные релизы операционной системы Red Hat Enterprise Linux 5.4 и платформы управления Linux-инфраструктурой Red Hat Network Satellite 5.3. Про основные новшества RHEL 5.4 я уже писал. Повторюсь лишь, что помимо Xen, в дистрибутив добавлена поддержка гипервизора KVM. Что касается Satellite, то там "море" нового. Основное: поддержка сервера автоматизированной установки cobbler, синхронизация каналов с мастер-сервером, модуль политики SELinux для Satellite, поддержка клиентов Solaris на архитектурах UltraSPARC T1 (sun4v) и X86_64. Про все остальные новшества и изменения как всегда можно прочесть в release notes.

Развитие проекта sVirt в Fedora 11/RHEL

Я уже рассказывал в своем блоге о проекте sVirt, позволяющем изолировать при помощи мандатного контроля доступа гипервизор и отдельные виртуальные машины друг от друга. Если вы еще не знакомы с концепцией MAC, MLS и MSC, то вы можете почитать соответствующие записи в моем блоге с меткой SELinux. Не буду повторяться, а просто скажу, что уникальные преимущества в плане защищенности, доступные в операционных системах общего назначения с открытым исходным кодом уже можно живьем "пощупать" и в системах виртуализации (Fedora 11), а с выходом RHEL 5.4 и внедрить на предприятии.

В изначально реализованной политике для RHEL5, xend_t - домен в котором работает процесс Xen, не мог обойтись без права писать/читать не только в файлы xen_image_t, но и в физические устройства fixed_disk_device_t, поскольку в промышленной среде использование образов дисков вместо отдельных разделов, например на LVM, имеет ряд недостатков. Таким образом, злоумышленник из процесса xend_t в случае компрометации одной из виртуальных машин в принципе мог бы получить доступ как к самому хосту, так и к другим виртуальным машинам.

Данная проблема в целом распространяется и на другие системы виртуализации - от Microsoft, VMware и других вендоров. От "zero-day" уязвимости в ОС виртуальной машины и гипервизора одновременно не застрахован никто. Однако в случае Fedora (и в будующем RHEL) решениеп такой проблемы теперь есть. Одной частью решения в Fedora 11 стал появившийся в libvirt механизм подключаемых модулей. Теперь специальный plug-in динамически присваивает метки файлам\устройствам "на лету" и стартует виртуальные машины в соответствующем домене SELinux. По умолчанию в Fedora процессы виртуальных машин работают в доменах svirt_t, а фалы/устройства имеют тип svirt_image_t.

Описанное выше позволит защитить только операционную систему хоста (гипервизор) от атаки осуществляемой изнутри скомпрометированной виртуальной машины. Для изоляции же виртуальных машин друг от друга разработчики используют поддержку мультикатигорийной безопасности (подмножество реализации многоуровневой безопасности с одним и тем-же уровнем безопасности s0). За подробностями опять-же отправляю к предыдущим постам в блоге. Соответствующие друг-другу контексты и домены виртуальных машин с совпадающими категориями (как я уже сказал уровень безопасности при этом используется один и тот же) присваиваются libvirt случайным образом. Однако, при необходимости, администратор может задать их и статически. Подробнее почитать про sVirt можно в блоге Дэна Уолша, отвечающего в Red Hat за разработку SELinux.

MCT... "I live again..." :)

Наверное первый раз за последние полтора-два года "достал с полки" свой подзаржавевший MCT :) На этой неделе дочитываю в Инвенте 2282 Designing a Microsoft Windows Server 2003 Network and Active Directory Infrastructure. По уровню сложности - 100 level. И правда, по сравнению с тем-же 400-очковым 423 Red Hat Enterprise Directory Services and Authentication просто курорт, хотя мне всегда курсы Microsoft давались тяжелее :)

-- Post From My iPhone

Spacewalk 0.6

В эту пятницу была анонсирована версия 0.6 платформы управления жизненным циклом Linux-инфраструктуры Spacewalk. Spacewalk под именем Red Hat Network Satellite Server имеет давнюю, с 2001 года, историю разработки. В настоящее время - это open source продукт, открытый по лицензии GPL2. Начиная с версии 0.6 Spacewalk поддерживает актуальную версию Fedora 11 и работу с виртуальными машинами KVM в дополнение к Xen. В текущей версии сделан еще один шаг в сторону поддержки помимо Oracle открытой СУБД PostgreSQL. Соответствующий код для поддержки инфраструктуры PostgreSQL уже присутствует, а окончательная интеграция ожидается в начале 2010 года. Другие новшества и исправления в Spacewalk 0.6:

• Поддержка SHA256 в rpm-пакетах
• Поддержка rpm-пакетов более 2Гб (требуется rpm 4.6)
• Возможность импортировать в канал ПО yum-репозиторий (как через GUI так spacewalk-repo-sync)
• Новая утилита spacewalk-report, позволяющая получать отчеты в виде CSV вывода для использования в скриптах
• Починили jabberd
• Ряд новых функций API
• Исправлено примерно сотня ошибок предыдущей версии

Red Hat представила Red Hat Enterprise Linux 5.4 Beta с поддержкой KVM

С первого числа в RHN доступна бета-версия Red Hat Enterprise Linux 5.4. Период бета-тестирования определен до 13 августа.

Основные особенности RHEL 5.4:

Гипервизор KVM. В дополнение к гипервизору Xen в RHEL 5.4 появился KVM. В KVM поддерживается широкий спектр ОС, включая Microsoft Windows XP, Windows Server 2003 и Windows Server 2008. Без модификации могут запускаться как 32-р так и 64-р ОС. Для запуска паравиртуализированных гостевых ОС доступны драйвера, обеспечивающие улучшенную производительность сети и I/O. Естественно, все libvirt-овские утилиты в 5.4 поддерживают KVM. Кластер на KVM пока TP.

Обновление Cluster Suite. Агент для виртуальных машин теперь работает через libvirt. Добавлены новые агенты фенсинга, в том числе для MDS. Кроме того, в статусе technology preview Cluster Suite + GFS работает на кластерах собранных из LPAR на Power-машинах.

Улучшения для десктопов. Тут в основном обновления драйверов видеокарт и ALSA.

Система. Полная поддержка FUSE. В статусе technology preview поддержка FcoE. Новые контрольные точки в такой классной штуке как SystemTap, в том числе для vm. Ext4 в technology preview.

Ядро. Много-много-много всего :) Читайте в rhelv5-beta-list. Там же можно взять и installation numbers.

Руководства Red Hat Reference Architecture Series

Если я не ошибаюсь, данные руководства раньше лежали только на партнерской части сайта Red Hat. В любом случае ссылка будет небесполезной. Среди Reference Architectures есть руководства по созданию решений высокой доступности, виртуализации, в том числе SAP, IBM DB2 и Oracle 10g в виртуализированной среде RHEL. Для доступа к документации необходимо заполнить небольшую форму. Список руководств тут.

Новое имя проекта Fedora Directory Server - "389"

Анонсирована смена имени проекта Fedora Directory Server на "Проект 389". В первую очередь смысл ребрендинга в том, чтобы подчеркнуть, что FDS - это не "Сервер каталогов для дистрибутива Fedora". FDS работает на множестве различных дистрибутивов Linux, например, debian, gentoo, ubuntu и других, а также под управлением различных операционных систем, например, Solaris или HP/UX 11.

После ряда иттераций, разработчики остановились на самом лаконичном имени - числе 389. Почему именно число 389? Думаю, это станет очевидным, если набрать команду grep ldap /etc/services :)

FAQ, посвященный смене имени проекта.
Новый домен проекта.