1. Эффективное
управление ПО под
*nix
Андрей Пантюхин
<infofarmer@FreeBSD.org>

2. Вид сверху

3. Масштаб темы
Традиционный ответ
▪ Установка программ
▪ Обновление программ
▪ Удаление программ

4. Масштаб темы
Новая парадигма
▪ Идея у разработчика в голове
▪ Управление ПО
▪ Готовый результат у пользователя

5. Новые задачи
▪ Управление ресурсами
▪ Интеграция в жизненный цикл ПО
▪ Межпрограммная интероперабельность

6. Ресурсы
▪ Материальные
• Аппаратное обеспечение, …
▪ Абстрактные
• Доверие, роли, …

7. Ресурсы
Управление на уровне пакетов
ПО
▪ Текущая практика
▪ Оптимизация потребления
▪ Оптимизация управления
▪ Разгрузка рутины администратора

8. Материальные
ресурсы
▪ Процессор, память, диск
▪ Пространства имён
• Файловая система, учётные записи
▪ Сетевой доступ
▪ Доступ к производным ресурсам
• База данных, Web API
▪ Средства презентации
• Визуализация, аурализация

9. Процессор
▪ Время выполнения
▪ Привязка к ядрам
▪ Контекстные переключения
▪ Оптимальные параметры многопоточности
▪ Использование кэш-памяти разных уровней
▪ Использование функций виртуализации
▪ Собственная сложность планировщика
▪ GPGPU, другие процессоры

10. Память
▪ Занимаемый объём
• resident, virtual
▪ Полоса доступа, каналы DMA
▪ Фрагментируемость
▪ Эффекты технологий безопасности
▪ Разделяемые данные и код

11. Диск
▪ Место
▪ Полоса доступа
▪ Количество мета-информации
▪ Износ
▪ Разделяемые данные

12. Сеть
▪ Полоса доступа
▪ Приоритет, QoS
▪ Зарезервированные порты, протоколы
▪ Правила политик безопасности
• firewall, NAT, tcp wrappers, fixup, inspect
▪ Ресурсы мониторинга и сбора статистики

13. Идентификаторы
▪ Файловая система
▪ Учётные записи
• пользователи, группы, роли
▪ Многоверсионные инсталляции
▪ Многоинстационные инсталляции

14. Производные
▪ База данных
▪ Антивирус
▪ Web API

15. Визуализация
▪ Экранное пространство
• в привязке ко времени и режимам
▪ Полупрозрачные, уменьшенные
представления
▪ Тайлинг, виртуальные десктопы
▪ Системная индикация

16. Аурализация
▪ Частоты
▪ Громкость
▪ Шаблоны

17. Абстрактные ресурсы
▪ Внимание пользователя
▪ Доступ
▪ Доверие
▪ Домены безопасности

18. Внимание
пользователя
▪ Штатные визуализация и аурализация
• Монотонность мониторинга
• Загрязнение журналов
• Индикация в дата-центрах
▪ Совокупные тревоги
• Экран, сигнализация, пейджер
▪ Дизайн интерфейсов
• Windows UAC, AJAX login

19. Доверие
Центральный вендор
▪ Цифровые подписи по лицензионным
договорам
▪ Цифровые подписи собственого ПО вендора
▪ WHQL, Apple, Symbian, игровые приставки,
Tivo
▪ Cisco California, сервера общего назначения

20. Паутина доверия
▪ PGP - p2p-цепочки
▪ SSL - централизованные системы (CACert,
Thawte)
▪ Бинарные пакеты (deb, rpm)
▪ Архивы исходного кода
▪ Изменения в репозитарии версий
▪ Любые другие данные

21. Доступ
▪ Традиционные механизмы Unix
• Разрешения файловой системы
• Доступ к сетевым портам с низкими
номерами
• Ограничения chroot и jail
▪ Методы управления доступом для повышенной
безопасности
• Мандатный (MAC), избирательный (DAC),
ролевой (RBAC), списочный (RSBAC)

22. Эволюция
▪ Возможности (Capabilities)
▪ Роли
▪ Точечные привилегии
▪ SELinux, AppArmor, TrustedBSD, Systrace,
Symbian

23. Домены безопасности
▪ Коммуникационные - на уровне предприятия
▪ Технологические
• Непотопляемость
• Бастионы
• Локальные уязвимости
• Timing-атаки
• Атаки на энтропию RNG

24. Виртуализация
▪ Обход проблем совместимости и
разграничения
▪ На уровне ОС
▪ Полная
▪ Тонкая

25. На уровне ОС
▪ FreeBSD Jails, Linux VServer, Solaris Zones
▪ Несущественный overhead
▪ Неполное разграничение
▪ Поддерживается штатными системами
управления ПО
• FreeBSD Ports DESTDIR

26. Полная
▪ VMWare, Xen, Linux KVM, Qemu
▪ Заметный overhead
▪ Более жёсткое разграничение
▪ Отсутствует проблема совместимости
▪ Программные устройства
• appliances, rPath Conary

27. Тонкая
▪ ThinApp, App-V, XenApp, klik, Zero Install, PBI
▪ Смешанное решение
▪ Жёстко централизованные и SaaS-среды

28. Жизненный цикл ПО
▪ Разработка
▪ Дистрибуция и установка
▪ Эксплуатация
▪ Сбор и обработка отзывов
▪ Патчи и обновления

29. Особенности
открытой модели
▪ Итеративная разработка
▪ Постоянный доступ сообщества
▪ Доступ к любым изменениям

30. Разработка
▪ Использование стороннего ПО
▪ Интеграция с другим ПО
▪ Поддержка разных ОС и сред

31. Дистрибуция
▪ Проприетарный путь
• бинарные пакеты на сайте вендора
▪ Открытый путь
• исходники на сайте вендора
• бинарники и метаданные в репозитариях ОС
▪ Смешанный путь
• исходники на сайте вендора
• бинарники и метаданные в репозитариях
вендора
▪ p2p - DebTorrent, apt-p2p

32. Установка
▪ Привилегированная
▪ Пользовательская
▪ Кластер
▪ Предприятие

33. Эксплуатация
▪ Управление конфигурацией
▪ Динамическое управление ресурсами

34. Фидбэк
▪ Статистика использования
▪ Отчёты об ошибках
▪ Поддержка

35. Патчи и обновления
▪ Пользовательский cherry-picking
▪ Локальные изменения
▪ Апгрейд конфигураций
▪ Постоянное тестирование

36. Интероперабельность
▪ Интеграция ПО в рабочую среду
• Freedesktop
▪ Заменимые провайдеры функциональности
• MTA, браузер, видеоплеер
▪ Провайдеры системных служб
• mdns, ssl
▪ Обмен данными
• Локально, по сети

37. Итого
▪ Управление ПО - медленно меняющаяся
парадигма
▪ Рост требований толкает интенсивное
развитие
▪ Текущее состояние - ряд полумер и обходных
путей
▪ Их конвергенция в комплексные решения - за
будущим

38. Вид изнутри

39. Обновления
▪ Сбор информации
▪ Бекап
▪ Тестирование
▪ Установка
▪ Откат

40. Сбор информации
▪ Списки рассылки и форумы вендора
▪ Списки рассылки и форумы ОС
▪ Изменения
• ChangeLog
• Bug-Tracking System
• Version Control System
• Полный diff исходников
• ports/Tools/scripts/ardiff

41. Бекап и откат
▪ Бинарные пакеты про запас
▪ База данных установленного ПО

42. Бекап и откат
portupgrade -b
portmaster -b
pkg_create -b
cp /var/db/pkg /backup
pkg_delete && pkg_add

43. Откат версий
▪ из бекапа
▪ csup date
▪ portdowngrade
▪ ftp.*.FreeBSD.org

44. Проверка состояния
▪ pkg_create -b
▪ pkg_delete -n
▪ ports/Tools/scripts/consistency-check
▪ tripwire и другие IDS
▪ логи инкрементальных бекапов

45. Ошибки
▪ в портах
▪ portupgrade
▪ /var/db/pkg

46. Инфраструктура
▪ Метаданные
▪ Дистрибутивы и пакеты

47. Зеркало
▪ Локальный cvsup
▪ NFS
▪ Дерево портов - только чтение
▪ Дистрибутивы - доступ на запись или
автозагрузка

48. Ссылки
▪ Third-party software management under BSD,
EuroBSDCon 2006
▪ Codename Upak

49. 有り難う
有り難う!
Спасибо!

50. ¿Вопросы?