Incus 7.3 mit gemeinsamer GPU-Beschleunigung und 13 Sicherheitskorrekturen veröffentlicht

Incus 7.3 bietet nun gemeinsame 3D-GPU-Beschleunigung für virtuelle Linux-Maschinen, eine vereinfachte Portweiterleitung, UEFI-NVRAM-Verwaltung sowie Behebungen für 13 Sicherheitslücken.
Eine Übersetzung von 🇬🇧 Linuxiac.com

Das Incus-Team hat Incus 7.3 angekündigt, ein umfangreiches Update des Open-Source-Managers für Container und virtuelle Maschinen. Die Version behebt 13 Sicherheitslücken, darunter neun kritische, zwei mit hohem Schweregrad und zwei mit mittlerem Schweregrad.

Einige davon könnten es Angreifern ermöglichen, über speziell präparierte Images, Backup-Archive, symbolische Links oder Path-Traversal beliebige Dateien auf dem Host zu lesen oder zu schreiben. Andere könnten Einschränkungen umgehen, die Incus-Projekte isolieren.

Neben den Sicherheitspatches ist eine der wichtigsten Neuerungen die gemeinsame 3D-GPU-Beschleunigung für virtuelle Linux-Maschinen. Incus 7.3 führt einen GPU-Typ im nativen Kontext ein, der virtio-gpu mit virglrenderer kombiniert, um Gastsystemen beschleunigte Grafikdarstellung zu bieten.

🎓 Im Gegensatz zum herkömmlichen PCI-GPU-Passthrough, bei dem ein gesamtes Grafikgerät einer einzelnen virtuellen Maschine zugewiesen wird, ermöglicht der Native-Context-Ansatz, dass sich mehrere VMs gleichzeitig dieselbe GPU teilen.

Derzeit ist diese Funktion vor allem für Linux-Gastsysteme nützlich. Laut der Ankündigung zur Veröffentlichung fehlt unter Windows die vollständige Treiberunterstützung, sodass bei dieser Konfiguration keine Beschleunigung möglich ist.

Incus 7.3 führt außerdem die direkte Verwaltung von UEFI-NVRAM-Variablen über den neuen Befehl incus low-level nvram ein. Administratoren können Konfigurationen wie VM-Boot-Geräte und die Boot-Reihenfolge überprüfen und ändern, ohne manuell auf die Gast-Firmware-Schnittstelle zugreifen zu müssen. Laut den Entwicklern wird sich ein zukünftiges Update auf die Bereitstellung von UEFI-Secure-Boot-Schlüsseln konzentrieren.

Eine weitere Neuerung ist der neue Befehl incus port-forward, der den Zugriff auf TCP-Dienste innerhalb einer Instanz vereinfachen soll. Er erstellt einen lokalen TCP-Listener und leitet eingehende Verbindungen an eine ausgewählte Adresse und einen ausgewählten Port innerhalb des Containers oder der virtuellen Maschine weiter.

Auch die Autorisierungskonfiguration wurde überarbeitet: Die bisherigen Serveroptionen openfga.* wurden in einen umfassenderen Namensraum namens authorization.* verschoben, wobei bestehende Werte während des Upgrades automatisch migriert wurden.

Noch wichtiger ist, dass Incus nun je nach Client-Typ unterschiedliche Autorisierungstreiber verwenden kann. Lokalen Unix-Socket-Clients, uneingeschränkten TLS-Clients, projektbeschränkten TLS-Clients, OIDC-authentifizierten Benutzern und anderen Klassen können separate Richtlinien zugewiesen werden. Administratoren können je nach Kontext zwischen den Treibern allow, deny, openfga oder scriptlet wählen.

Im Rahmen einer Bereinigung der Befehlszeile wurde der bisherige Befehl incus debug in incus low-level umbenannt. Der umbenannte Befehl enthält nun Unterbefehle zur Verwaltung von VM-Dirty-Bitmaps, NVRAM-Variablen und Instanz-Reparaturvorgängen.

Auch der Netzwerkbereich wurde verbessert. Incus kann nun über eine Netzwerkschnittstelle statt über eine statische Peer-Adresse unnummerierte BGP-Sitzungen mit externen Routern aufbauen. In dieser Konfiguration ermittelt Incus automatisch die IPv6-Link-Local-Adresse des Routers und kann IPv4-Routen über die erweiterte Next-Hop-Funktion von BGP austauschen.

Mit dieser Version lässt sich die verschachtelte Virtualisierung für virtuelle Maschinen explizit konfigurieren. Die bestehende Option security.nesting gilt nun sowohl für VMs als auch für Container. Sie bleibt standardmäßig aktiviert, um das bisherige Verhalten beizubehalten; wird sie jedoch deaktiviert, werden die CPU-Flags AMD svm und Intel vmx aus dem Gast entfernt.

Eine entsprechende Projektoption namens restricted.virtual-machines.nesting ermöglicht es Administratoren, die verschachtelte Virtualisierung für alle VMs zu blockieren, die zu einem eingeschränkten Projekt gehören.

Darüber hinaus wird die Verwaltung mehrerer Incus-Server durch die neue Option --all-remotes für den Befehl incus list vereinfacht. Sie fasst Instanzen aller konfigurierten Remote-Server in einer Tabelle zusammen und fügt eine Spalte hinzu, die den Server jeder Instanz angibt. Die Option lässt sich mit --all-projects kombinieren, um einen umfassenderen Überblick über verteilte Umgebungen zu erhalten.

Incus 7.3 verbessert zudem seinen Agenten für virtuelle Maschinen. In Umgebungen ohne virtio-vsock kann der Agent nun Informationen zum Betriebssystem und zur IP-Adresse über eine serielle Verbindung melden.

Für Speicher und Überwachung stellt der Endpunkt /1.0/metrics nun die Gesamtkapazität und die belegte Kapazität von Speicherpools bereit. Diese neuen Metriken können von Prometheus-kompatiblen Überwachungssystemen erfasst werden, um den Speicherverbrauch direkter zu verfolgen.

Weitere Neuerungen umfassenen die Unterstützung der externen Kontoverknüpfung für ACME-Anbieter, verbesserte CPU-Cluster-Berichterstattung auf ARM-Big.LITTLE-Systemen, erweiterte Informationen zur Netzwerkzuweisung sowie eine kompaktere Übersichtsansicht für zugewiesene Netzwerkadressen.

Schließlich enthalten die Incus-Veröffentlichungen nun native Client-Installationsprogramme für Windows und macOS, die als MSI- und PKG-Pakete bereitgestellt werden. Da jedoch keines der Installationsprogramme digital signiert ist, können bei Benutzern Sicherheitswarnungen des Betriebssystems oder zusätzliche Installationsschritte auftreten.

Weitere Details finden Sie in der Veröffentlichungsankündigung oder im vollständigen Changelog.

Benutzern wird empfohlen, diese neuen Funktionen auf der Incus-Online-Plattform auszuprobieren, die eine praktische Erfahrung mit der neuesten Version bietet.

Spendieren Sie Bobby einen ☕ Ko-fi

Ein Service von s3n🧩net