Mobile-Menu

Systemcontainer und VMs gemeinsam verwalten Incus: Isolation je Instanz über SELinux und MCS

Von Thomas Joos 2 min Lesedauer

Anbieter zum Thema

DAXTEN GmbH
DeRZ - Deutsche Rechenzentren GmbH
EPS Rechenzentrum Infrastruktur GmbH

Ein Rechenzentrum betreibt Linux-Workloads in Systemcontainern und in virtuellen Maschinen. Incus führt beide Betriebsarten in einer Steuerung zusammen und läuft vom einzelnen Host bis zum Cluster im Rack. Die Version 7.2 härtet die Trennung der Instanzen und erweitert Netzwerk und Storage.

Systemcontainer und VMs gemeinsam verwalten(Bild: Thomas Joos)
Systemcontainer und VMs gemeinsam verwalten
(Bild: Thomas Joos)

Incus stammt als quelloffener Fork von LXD und steht unter der Apache-2.0-Lizenz ohne Contributor-Agreement. Die Software verwaltet vollständige Linux-Systeme als Container oder als virtuelle Maschine über eine gemeinsame Kommandozeile und eine einheitliche API. Ein Administrator startet, migriert und sichert beide Instanztypen mit denselben Befehlen. Eine optionale Web-Oberfläche ergänzt die Kommandozeile für den Blick auf die laufenden Instanzen. Die LTS-Linie 6.0 erhält Pflege bis Juni 2029, neue Feature-Versionen erscheinen im Monatsrhythmus.

Isolation je Instanz

Die Version 7.2 weitet die SELinux-Unterstützung auf einzelne Instanzen aus. Incus vergibt jedem Container und jeder virtuellen Maschine eine eigene Kategorie im Multi-Category-Security-Modell und weist die Ebene automatisch zu. Zwei Instanzen auf demselben Host erreichen dadurch die Prozesse und Dateien der anderen nicht, bei einem Ausbruch aus einem Container bleibt der Schaden lokal begrenzt. Die Härtung schließt eine Lücke im Betrieb geteilter Hosts, denn gemischte Mandanten auf einem Server verlangen eine feste Grenze zwischen den Gästen.

Netzwerk und Storage im Detail

Über BGP je Instanz meldet Incus die Adressen einzelner Container und Maschinen direkt an das Fabric. Ein Rechenzentrum bindet Workloads damit ohne zusätzlichen Router in das Routing ein und verteilt Last über mehrere Pfade. Für InfiniBand mit SR-IOV konfiguriert die Software jetzt port_guid und node_guid, was den Betrieb virtueller Funktionen auf HPC-Adaptern absichert. Beim Storage kommt die Volume-Option btrfs.compression hinzu, und Incus verkleinert QEMU-Images nach dem Entpacken auf ihre Minimalgröße, was Platz auf schnellen NVMe-Pools spart. OCI-Container erhalten eine statische Netzwerkkonfiguration und laufen neben klassischen Systemcontainern im selben Bestand.

Betrieb im Cluster

Incus skaliert vom einzelnen Server bis zu einem Verbund über mehrere Knoten im Rack. Der Cluster verteilt die Instanzen über die Mitglieder und verschiebt eine laufende virtuelle Maschine bei Wartung auf einen anderen Knoten. Über Projekte trennt die Plattform Ressourcen, Netzwerke und Berechtigungen mehrerer Teams auf derselben Hardware. Ein Image-Server hält die Betriebssystem-Images zentral bereit, aus denen der Administrator neue Instanzen in Sekunden erzeugt. Die neue Version gleicht zudem die knotenspezifische Netzwerkkonfiguration über die Cluster-Mitglieder ab, was den Betrieb großer Verbünde ordnet.

Fazit

Incus bündelt Container und virtuelle Maschinen in einem Werkzeug und rückt mit Version 7.2 die Trennung der Instanzen nach vorn. Die BGP-Anbindung je Instanz und die MCS-Isolation passen zu Rechenzentren mit mehreren Mandanten auf gemeinsamen Hosts. Der lange Support der 6.0-Linie hält die Basis über Jahre stabil.

(ID:50886751)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu RZ- und Server-Technik

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte