Back to the news overview

LXD 4.22 リリースのお知らせ¶

15th of January 2022

はじめに ¶

LXD チームは LXD 4.22 のリリースをお知らせできることにとてもワクワクしています!

このリリースは今年初めてのリリースです。まったく新しい lxd-user デーモン、ドキュメントの改良、その他多くの小さな機能や改良を含む、かなり忙しいリリースでした。

Enjoy!

新機能とハイライト ¶

最小要件の更新 ¶

LXD 5.0 LTS のリリースが近づきましたので、LXD をビルドして実行する最小要件を引き上げました。この理由は、依存しているもののいくつかが、古いバージョンの Go をサポートしなくなったという外部要因がほとんどです。

新しい要件は次の通りです:

• Go 1.16 以上（LXD 5.0 では 1.17 に上がる可能性があります）
• LXC 4.0.x
• Linux 5.4

詳細はこちらにあります: https://linuxcontainers.org/lxd/docs/master/requirements/

ドキュメントの改良 ¶

LXD はドキュメントジェネレーターを Sphinx に変更しました。より複雑なマークアップとより良いレンダリングができるようになりました。

この結果は https://linuxcontainers.org/lxd/docs/master/ で見ることができます。

このリリースでは、コンテンツに関しては Getting started のセクションを再構築し、既存コンテンツの一部をシャッフルして改良しました。

これから数週間から数ヶ月の間で、より多くのドキュメントを再構築し、これまでより質の高い、情報が見つけやすいコンテンツを提供したいと考えています。

ユーザー用プロジェクトの管理デーモン ¶

このリリースには、新しいオプショナルなデーモンである lxd-user が含まれます。このデーモンは、メインの LXD デーモンのプロキシーとして動作し、信頼度が低いユーザーが安全な方法で LXD とやりとりできるようにします。

その使用例として、すべてのユーザーが完全に信頼されているわけではないデスクトップシステム上での使用があります（必要なら root アクセスが与えられます）。LXD のセキュリティモデルでは、これらのユーザーは LXD への直接のアクセス権を与えられるべきではありません。LXD を使って特権を昇格させ、システムを乗っ取る可能性があるからです。

この代わりに、lxd グループに属するメンバーだけが直接 LXD と対話でき（そして、LXD に対するフルアクセスを取得し）、一方で users に属するユーザーは lxd-user と対話できるようにシステムを設定できます。

ユーザーが lxd-user に接続すると、自動的に次のようになります:

• デーモンは LXD が初期化されているかどうかをチェックし、されていない場合は次を作成します:
  • default ストレージプール（zfs を優先的に試行し、dir にフォールバックします）
  • lxdbr0 ネットワーク
  • ストレージプールとネットワークで使う default プロファイル
• 特定のユーザーが初めて lxd-user に接続する際は、次が行われます:
  • そのユーザーの TLS 証明書の生成
  • そのユーザー専用の新プロジェクトの生成
  • 生成した TLS 証明書をプロジェクトにひもづける
  • プロジェクトの default プロファイルのセットアップ
• 最後に生成した認証用の TLS 証明書を使って、そのユーザーのリクエストを実際の LXD デーモンに転送します

エンドユーザーは、lxd-user との最初の対話は次のようになります:

foo@v1:~$ lxc list
To start your first container, try: lxc launch ubuntu:20.04
Or for a virtual machine: lxc launch ubuntu:20.04 --vm

+------+-------+------+------+------+-----------+
| NAME | STATE | IPV4 | IPV6 | TYPE | SNAPSHOTS |
+------+-------+------+------+------+-----------+

foo@v1:~$ lxc launch ubuntu:20.04
Creating the instance
Instance name is: welcome-earwig        
Starting welcome-earwig

foo@v1:~$ lxc list
+----------------+---------+---------------------+-----------------------------------------------+-----------+-----------+
|      NAME      |  STATE  |        IPV4         |                     IPV6                      |   TYPE    | SNAPSHOTS |
+----------------+---------+---------------------+-----------------------------------------------+-----------+-----------+
| welcome-earwig | RUNNING | 10.31.36.109 (eth0) | fd42:fa4a:d38d:1c7b:216:3eff:fed1:63aa (eth0) | CONTAINER | 0         |
+----------------+---------+---------------------+-----------------------------------------------+-----------+-----------+

foo@v1:~$ lxc project list
+---------------------+--------+----------+-----------------+----------+------------------------------------------+---------+
|        NAME         | IMAGES | PROFILES | STORAGE VOLUMES | NETWORKS |               DESCRIPTION                | USED BY |
+---------------------+--------+----------+-----------------+----------+------------------------------------------+---------+
| user-1001 (current) | YES    | YES      | YES             | NO       | User restricted project for "foo" (1001) | 3       |
+---------------------+--------+----------+-----------------+----------+------------------------------------------+---------+

foo@v1:~$ lxc project show user-1001
config:
  features.images: "true"
  features.networks: "false"
  features.profiles: "true"
  features.storage.volumes: "true"
  restricted: "true"
  restricted.containers.nesting: allow
  restricted.devices.disk: allow
  restricted.devices.disk.paths: /home/foo
  restricted.devices.gpu: allow
  restricted.idmap.gid: "1003"
  restricted.idmap.uid: "1001"
description: User restricted project for "foo" (1001)
name: user-1001
used_by:
- /1.0/instances/welcome-earwig?project=user-1001
- /1.0/images/ced57a80f2b761c3cdab867c2296b801c6adfe521f811bacdd61410da4bc2734?project=user-1001
- /1.0/profiles/default?project=user-1001

これは、通常の LXD の使用とは少し異なります:

• CLI は lxd init の実行は推奨しません（ユーザーには許可されていないため）
• ユーザーは特定のプロジェクト（上記の例では user-1001）にロックされています
• このプロジェクトはいくつかの安全で、ユーザー固有の設定に制限されています

この機能で、共有環境での LXD のインテグレーションがより簡単になることを期待しています。また、すべてがオンデマンドで行われ、ソケットアクティベーションをサポートしているので、LXD をその設定で出荷でき、システム上で必要になるまでリソースを使用することはありません。

エージェントなしでの VM メトリクス取得 ¶

VM の実行時のメトリクス取得のためのエージェントとのやりとりを無効化できるように、新たに security.agent.metrics 設定オプションを追加しました。仮想マシンでは、現在 LXD はゲスト内で動作する lxd-agent プロセスを使い、正確な CPU、メモリー、ディスク、プロセスの使用量を提供しています。

しかし、すべてのゲストが信用できるわけではなく、悪意のあるゲストが lxd-agent プロセスへの依存を悪用して、不正なリソース消費データをホストに送信するかもしれません。ある環境でメトリクスがどのように使われるかによりますが、これは課金に影響したり、どのゲストがすべてのシステムリソースを消費しているのかを追跡するのが非常に難しくなったりします。

この新しい設定オプションを false に設定すると、LXD は exec や file セッションを確立するときだけエージェントとの通信を行います。それ以外の場合は、QEMU が報告するリソース消費量だけを使います。

MIG GPU UUID¶

A100 および同様の MIG をサポートする GPU の最近のバージョンでは、特定の MIG インスタンスを追跡するために使うデバイス識別子が変更されています。

以前は、各 MIG インスタンスが物理 GPU の UUID を使用していたので、特定の GPU インスタンス（GI）とコンピュートインスタンス（CI）を含めるために、LXD には mig.gi と mig.ci がありました。

最近のドライバーは各 MIG に専用の UUID を割り当てるので、mig.uuid オプションを追加する必要が出てきました。

クラスター待避のためのライブマイグレーション ¶

LXD はいくつかのリリースで VM のライブマイグレーションをサポートするようになり、クラスター待避ロジックに接続するときがやってきました。

今回のリリースから、migration.stateful が trueに設定（ライブマイグレーション、ステートフルスナップショット、ステートフルストップに必要）された仮想マシンは、停止→移動→再起動という処理ではなく、新しいクラスターメンバーへライブマイグレーションされるようになりました。

また、cluster.evacuate を live-migrate に設定して、この特定の動作を強制できるようになりました。以前の動作である停止→移動→再起動という動作を強制するには、代わりに cluster.evacuate を migrate に設定できます。

整合性のないインスタンスのコピー ¶

インスタンス全体を停止またはフリーズすることなしに、簡単には一貫性のあるファイルシステムビューを提供できない dir、lvm、ceph のようなストレージバックエンドを使っている場合、実行中にインスタンスをコピーすると、転送中にファイルがいくつか変更されたことを示す rsync のエラーで失敗する可能性があります。

実際にインスタンスを停止して再試行する代わりに、新たにコマンドライン引数 --allow-inconsistent が lxc copy に追加されました。これは LXD に前述のような rsync のエラー（そのようなエラーのみ）を無視するように指示します。これは --refresh と組み合わせて使うと特に便利です。最後のわずかな変更を切り取って転送する準備が整うまで、繰り返し転送できます。

最適化されたインスタンス詳細情報 API ¶

GET /1.0/instances/NAME エンドポイントに新たに ?recursion=1 モードを追加しました。これにより 1 つのリクエストで効率的に応答を提供する GET /1.0/instances での ?recursion=2 と同様の応答を提供します:

• インスタンスの情報と設定
• 現在の実行状態
• スナップショットのリスト
• バックアップのリスト

これは、1 つのクエリーを使って特定のインスタンスに関するすべての情報を取得したい場合に便利で、lxc CLI のいくつかのコマンドでも、この機能を使用するように変更を行っています。

TLS over unix socket¶

最後にとてもニッチな機能ですが、lxd-user デーモンで必要になった機能です。Unix ソケット経由で TLS 証明書を使った認証ができるようになりました。これは、ローカルソケット上で標準のクリアテキストセッションを使うのではなく、STARTTLS を使って LXD に TLS への切り替えを指示し、認証を行います。

lxd-user では、通常の（この特定のケースでは制限された）ユーザー証明書を使って、特定のユーザーとしてローカルの LXD に安全に接続し、ネットワーク経由で送信されたかのように LXD 処理させるためにこの機能を使えます。

すべての変更点（翻訳なし） ¶

このリリースでの完全な変更点のリストは次の通りです:

試用環境 ¶

この新しい LXD リリースは私たちの デモサービス で利用できます。

ダウンロード ¶

このリリースの tarball は ダウンロードページ から取得できます。

ビルド済みバイナリーは次のように使えます:

• Linux: snap install lxd
• MacOS: brew install lxc
• Windows: choco install lxc