Back to the news overview

LXD 4.23 リリースのお知らせ¶

12th of February 2022

はじめに ¶

LXD チームは LXD 4.23 のリリースをお知らせできることにとてもワクワクしています!

今回のリリースは、多数のバグ修正とパフォーマンスの改良は言うまでもなく、4 つの主要な機能、さらに多くの小さな機能の追加が含まれています。

Enjoy!

新機能とハイライト ¶

lxd-p2c の lxd-migrate への置き換え ¶

移行 API を使って既存のシステムやファイルシステムツリーを LXD コンテナにインポートできる lxd-p2c は lxd-migrate に置き換えられました。

新しいツールは lxd-p2c がサポートしている機能を持ち、さらに次を追加しました:

• ディスクイメージから LXD 仮想マシンへの移行のサポート
• より多くの認証メソッドのサポート
• ネットワーク、ストレージ、プロファイル、その他設定オプションのよりきめ細やかなオーバーライド

それ以外の点では、ツールは静的にビルドできるツールのままであり、ソースシステム上にある rsync にのみ依存しているだけです。転送は LXD のマイグレーション API を通して行われるため、ローカルもしくはリモートのいずれの LXD サーバーに対しても行うことができます。

仕様 : https://discuss.linuxcontainers.org/t/lxd-unified-p2c-p2v-migration-tool/12903

トークンベースの認証 ¶

LXD API のセキュリティ向上の一環として、新たにクライアントで LXD とやりとりできるワンタイムトークンの発行ができるようになりました。これは、共有の信頼パスワードを使うよりももっと良い代替手段です。そして、手動で証明書を送るよりもより簡単に処理できます。

lxc cluster add で行ったのと同様に、lxc config trust add を使って新しいトークンが発行できるようになりました。このトークンには接続情報、サーバー証明書、ワンタイムシークレットが含まれます。

stgraber@castiana:~$ lxc config trust list
+------+------+-------------+-------------+------------+-------------+
| TYPE | NAME | COMMON NAME | FINGERPRINT | ISSUE DATE | EXPIRY DATE |
+------+------+-------------+-------------+------------+-------------+

stgraber@castiana:~$ lxc config trust add
Please provide client name: castiana
Client castiana certificate add token: eyJjbGllbnRfbmFtZSI6ImNhc3RpYW5hIiwiZmluZ2VycHJpbnQiOiI1N2FhYjFkMjNhMGRlODdjZmQxNzkwNzNkMDVlN2U5OGIyY2U2ZjRmNTM1NjVkYzUzOTY1MjQ1MzRkNWU1NjM0IiwiYWRkcmVzc2VzIjpbIjE3Mi4xNy4wLjE0MTo4NDQzIiwiWzI2MDI6ZmM2MjpiOjEwMDA6NDNhNjo2NTJlOmZlZjI6ZTg4Y10    6ODQ0MyIsIjEwLjEyOC4xOTIuMTo4NDQzIiwiW2ZkNDI6YWU1Zjo5OGFiOmE4MTY6OjFdOjg0NDMiXSwic2VjcmV0IjoiYjVmMzQwZmJlN2IxOWM3M2U2MDFjZTJkYTc4YzNhMTlhZDgwY2RmZDExZDRkOTA1YTg0ODE2MTE5NWI3YzIwNSJ9

stgraber@castiana:~$ lxc remote add my-server eyJjbGllbnRfbmFtZSI6ImNhc3RpYW5hIiwiZmluZ2VycHJpbnQiOiI1N2FhYjFkMjNhMGRlODdjZmQxNzkwNzNkMDVlN2U5OGIyY2U2ZjRmNTM1NjVkYzUzOTY1MjQ1MzRkNWU1NjM0IiwiYWRkcmVzc2VzIjpbIjE3Mi4xNy4wLjE0MTo4NDQzIiwiWzI2MDI6ZmM2MjpiOjEwMDA6NDNhNjo2NTJlOmZlZjI6ZTg4Y106ODQ0MyIsIjEwLjEyOC4xOTIuMTo4NDQzIiwiW2ZkNDI6YWU1Zjo5OGFiOmE4MTY6OjFdOjg0NDMiXSwic2VjcmV0IjoiYjVmMzQwZmJlN2IxOWM3M2U2MDFjZTJkYTc4YzNhMTlhZDgwY2RmZDExZDRkOTA1YTg0ODE2MTE5NWI3YzIwNSJ9

stgraber@castiana:~$ lxc list my-server:
+-----------+---------+----------------------+-----------------------------------------------+-----------+-----------+
|   NAME    |  STATE  |         IPV4         |                     IPV6                      |   TYPE    | SNAPSHOTS |
+-----------+---------+----------------------+-----------------------------------------------+-----------+-----------+
| lxd-build | RUNNING | 10.128.192.40 (eth0) | fd42:ae5f:98ab:a816:216:3eff:fe28:c0a6 (eth0) | CONTAINER | 0         |
+-----------+---------+----------------------+-----------------------------------------------+-----------+-----------+

stgraber@castiana:~$ lxc config trust list
+--------+----------+------------------+--------------+-------------------------------+-------------------------------+
|  TYPE  |   NAME   |   COMMON NAME    | FINGERPRINT  |          ISSUE DATE           |          EXPIRY DATE          |
+--------+----------+------------------+--------------+-------------------------------+-------------------------------+
| client | castiana | UNKNOWN@castiana | 6f5a027652fb | Nov 16, 2021 at 12:27am (UTC) | Nov 14, 2031 at 12:27am (UTC) |
+--------+----------+------------------+--------------+-------------------------------+-------------------------------+

クライアントはサーバーアドレス、サーバーフィンガープリントのバリデーション、パスワードの提供が不要なことに注意してください。これはトークンの一部であるためです。トークンは作成時にプロジェクト単位で制限できるため、共有環境に新しいユーザーを登録するのに最適です。

仕様 : https://discuss.linuxcontainers.org/t/lxd-token-based-remote-connection/13114
ドキュメント : https://linuxcontainers.org/lxd/docs/master/authentication/#adding-client-certificates-using-tokens

ネットワークゾーン内のカスタム DNS レコード ¶

ネットワークゾーンは LXD インスタンスに対する正引き、逆引きの DNS レコードを簡単に自動生成する方法として最初に導入されました。

これらのゾーンに手動で追加の DNS レコードも追加できるようになりました。この操作は lxc network zone record コマンドやマッチング API を通して行えます。

このようなレコードは Let's Encrypt のような DNS バリデーションを行うようなサービスや、ドメイン認証を行うようなサードパーティサービスで特に役立ちます。

仕様 : https://discuss.linuxcontainers.org/t/lxd-custom-dns-records-in-network-zones/13128
ドキュメント : https://linuxcontainers.org/lxd/docs/master/network-zones/#custom-records

イメージの必要条件 ¶

LXD イメージで、LXD に対する要件を示す特別なプロパティを使えるようになりました。

初期実装では、次の 2 つが使えます:

• requirements.cgroup
• requirements.secureboot

前者は LXD に、特定のイメージにある種の cgroup ツリーが必要であることを伝えるために使えます。
現時点では v1 のみがサポートされています。これで LXD はホストシステムでまだ cgroup v1 がサポートされているかどうかをチェックします（CentOS 7 や Ubuntu 16.04 のようなディストリビューションを、cgroup2 に依存している新しいシステム上で実行するような場合によくある問題です）。

後者は、イメージがセキュアブートが有効な場合にはブートできないことを示す場合に false に設定できます。

どちらも、LXD はインスタンスの起動時にこれらをチェックし、条件を満たしていない場合はエラーとなります。

stgraber@castiana:~$ lxc launch images:centos/7 c1
Creating c1
Starting c1                                 
Error: The image used by this instance requires a CGroupV1 host system

ドキュメント : https://linuxcontainers.org/lxd/docs/master/image-handling/#special-image-properties

ネットワーク ACL ログアクセス（OVN）¶

OVN ネットワーク上でネットワーク ACL を使う場合、ルールの状態を logged に設定し、ルールに合致するトラフィックがログエントリーとなるようにすることができます。

これらのログエントリーは、影響を受けるインスタンスを実行しているシステムの OVN ログに現れます。
残念ながら、OVN ログは常に読みやすいとは限りません。言うまでもなく、非特権ユーザーはそれにアクセスすることはできません。

そこで、特定の ACL に関係するログエントリーを取得するための API と、それに対応する CLI を追加しました。

root@abydos:~# lxc network acl show-log unifi
{"time":"2022-02-12T06:01:26Z","proto":"tcp","src":"45.45.148.253","dst":"45.45.148.3","src_port":"33556","dst_port":"22","action":"reject"}
{"time":"2022-02-12T06:01:26Z","proto":"tcp6","src":"2602:fc62:b:1000:43a6:652e:fef2:e88c","dst":"2602:fc62:a:1::3","src_port":"52590","dst_port":"22","action":"reject"}

仕様 : https://discuss.linuxcontainers.org/t/lxd-network-acl-logging/13223

OVN のネットワーク状態サポート ¶

ネットワーク状態 API が OVN で動作するようになりました。

具体的には、これにより lxc network info が OVN ネットワークに対しても動作するようになりました。

vlan.tagged の VLAN レンジ ¶

vlan.tagged 設定オプションは、カンマ区切りのリストを使って複数の VLAN の指定をサポートしていました。
ほとんどの環境でこれはうまく動作しましたが、多数の VLAN を扱う場合は、範囲指定の方が使いやすい場合が多いでしょう。

このため、LXD では VLAN ID の範囲の使用をサポートするようになりました。これは vlan.tagged に 10,50,1000-2000 のように設定します。

ストレージボリュームのサーバーサイドのフィルタリング ¶

既存のインスタンス API とイメージ API に加えて、ストレージボリューム API がサーバーサイドのフィルタリングをサポートしました。これにより、ボリューム名、タイプ、設定でフィルタリングし、API がスナップショットを返すかどうかを設定できるようになりました。

ドキュメント : https://linuxcontainers.org/lxd/docs/master/rest-api/#filtering

ストレージプールの zfs.export 設定オプション ¶

新しく追加したストレージプールオプションである zfs.export が、LXD のシャットダウン時に ZFS プールのエクスポートの動作をコントロールします。

デフォルトでは LXD は、ループディスク上に作られているか、専用のディスク・パーティションを使って作られているかに関わらず、自身が完全に所有するいかなるストレージプールにも zpool export を呼び出します。

このオプションを使って、LXD がこのようなケースで zpool をロードしたままにできるようになります。

ストレージボリュームの zfs.reserve_space 設定オプション ¶

他に ZFS の設定として追加したのは zfs.reserve_space です。これはボリュームに対して設定でき、割り当てられたディスクスペースがそのインスタンスで利用できることを保証します。

これは、システム上の他のインスタンスがスペースを使い切っている場合に、ディスクスペースの不足が許されないクリティカルなサービスで特に役に立ちます。

ストレージボリュームの zfs.blocksize 設定オプション ¶

最後の ZFS 設定オプションのひとつは zfs.blocksize です。これもストレージボリュームに対して設定でき、使用するブロックサイズやレコードサイズを制御できます。この値を調整して、非常に小さいファイルを多数扱う場合の無駄を省いたり、とても大きなファイルを扱う場合のスループットを改善したりできます。

スナップショットのスケジュールに対する @never オプション ¶

最後に、新たなスナップショットのスケジューリングオプション @never を導入しました。これで snapshots.schedule の継承を解除するために使えます。

プロファイルに snapshots.schedule が設定されている場合で、そのプロファイルを使うインスタンスのひとつでスナップショットを実行したくない場合、インスタンスの snapshots.schedule を @never に設定するとうまくいきます。

すべての変更点 ¶

このリリースでの完全な変更点のリストは次の通りです:

試用環境 ¶

この新しい LXD リリースは私たちの デモサービス で利用できます。

ダウンロード ¶

このリリースの tarball は ダウンロードページ から取得できます。

ビルド済みバイナリーは次のように使えます:

• Linux: snap install lxd
• MacOS: brew install lxc
• Windows: choco install lxc