安全模块（LSM）框架文档。 Linux 的 namespaces 封装了一个全局系统资源到一个抽象的概念，全局系统资源在 namespace 内对进程可见，并且 namespace 有它们自己的全局资源隔离实例。对其它进程全局资源的可见性的改变是，同一个 namespace 的成员可 见，但是对非同一个 namespace 的其它进程不可见。从内核 5.6 版本起，有 8 种 namespaces (参见 (2021) 中, Debian 使用 unified cgroup hierarchy（统一 cgroup 层级架构）(亦称为 cgroups-v2)。 namespaces 同 cgroups 一起来隔离它们的进程，允许资源控制的使用示例是： • Systemd。参见第 3.2.1 节。 • 沙盒环境。参见第 7.6 节。 • Linux 容器，比如 Docker、LXC。参见第 9.11 Btrfs 上制作系统快照。 软件包 流行度 大小 说明 etckeeper V:26, I:30 164 使用 Git（默认）、Mercurial 或 GNU Bazaar 来保存配置文件和它 们的元数据 timeshift V:5, I:9 3421 使用 rsync 或 BTRFS 快照的系统恢复工具 snapper V:4, I:5 2419 Linux 文件系统快照管理工具 Table

策略，可以显著改善高优先级任务的调度延迟， 降低对其他任务的干扰。优化 NUMA balancing 机制，带来更好的亲和性、更高的使用率和更少 的无效迁移。 2. CPU 隔离机制增强：支持中断隔离，支持 unbound kthreads 隔离，增强 CPU 核的隔离性， 可以更好的避免业务间的相互干扰。 3. 进程间通信优化：pipe_wait、epoll_wait 唤醒机 制优化，解决唤醒多个等待线程的性能问题。 • Keystone 提供了 OpenStack 其余组件的认证信息和令牌的管理、创建、修改等功能，使用 MySQL 等数据库存储认证信息。 • Nova 提供虚拟机的创建、运行、迁移、快照等服务，提供 API 与控制节点对接，由控制节点下发任务，使用 nova-api 进行通信。 • Neutron 网络管理服务，提供了对网络节点的网络拓扑管理，负责管理私有网络与公有网络的通信、虚拟机网络之间通信 化架构或组件。具 备安全、轻量、高性能、低损耗、组件灵活拆分的特点。 StratoVirt 主要优势如下： • 强安全性：基于 Rust 实现语言级安全，模型设计上最小化攻击面， 实现多租户物理隔离。 • 轻量低噪：采用极简设备模型时，启动时间小于 50ms，内存底噪小于 4M，支持 Serverless 负载。 • 软硬协同：StratoVirt 支持 x86 的 VT，支持鲲鹏的 Kunpeng-V。

.................................................................................... 183 7.2.4 逻辑卷快照 .................................................................................................. 效果，以便进一步满足生产环境对硬盘设备的 I/O 读写速度和数据冗余备份机制的需求。 同时，考虑到用户可能会动态调整存储资源，本章还将介绍 LVM（Logical Volume Manager，逻辑卷管理器）的部署、扩容、缩小、快照以及卸载删除的相关知识。 35 ➢ 8 iptables firewalld ：本章讲解了 RHEL 7 中新增的 firewalld 防火墙与先前版本中 iptables 重装也会让人头疼，还会浪费我们的宝贵时间。而通过虚拟机软件安装的系统不仅可以模拟 出硬件资源，把实验环境与真机文件分离以保证数据的安全，更酷的是当操作失误或配置出 错导致系统异常的时候，可以快速把操作系统还原到出错前的快照状态—这大约只需要 5～ 10 秒（在真实的物理机上重装系统可能得至少 30 分钟）。 最近几年在讲课时，总会发现同学们使用的实验环境五花八门，有 CentOS、Debian，还 有老版本的 RHEL

文件系统阶段 14.3.3 放大 LV 容量： xfs_growfs 14.3.4 使用 LVM thin Volume 让 LVM 动态自动调整磁盘使用率 14.3.5 LVM 的磁盘快照： 创建传统快照, 以快照还原,用于测试环境 14.3.6 LVM 相关指令汇整与 LVM 的关闭 14.4 重点回顾 14.5 本章习题 14.6 参考资料与延伸阅读 第十五章 例行性工作调度 （crontab） Volume Manager） 14.3.5 LVM 的 LV 磁盘快照 现在你知道 LVM 的好处咯，未来如果你有想要增加某个 LVM 的容量时，就可以通过这个放 大的功能来处理。 那么 LVM 除了这些功能之外，还有什么能力呢？其实他还有一个重要的能 力，那就是 LV 磁盘的快照 （snapshot）。 什么是 LV 磁盘快照啊？快照就是将当时的系统 信息记录下来，就好像照相记录一般！ 未来若 移到快 照区，没有被更动的区域则由快照区与文件系统共享。 用讲的好像很难懂，我们用图解说明 一下好了： 图14.3.3、LVM 快照区域的备份示意图 左图为最初创建 LV 磁盘快照区的状况，LVM 会预留一个区域 （左图的左侧三个 PE 区块） 作为数据存放处。 此时快照区内并没有任何数据，而快照区与系统区共享所有的 PE 数据， 因此你会看到快照区的内容与文件系统是一模一样的。 等到系统运行一阵子后，假设

，那就是 LV 磁盘的快照 （snapshot）。 什么是 LV 磁盘快照啊？快照就是将当时的系统信息记录下来，就好像照相记录一般！ 未来若有任何数据更动了， 则原始数据会被搬移到快照区，没有被更动的区域则由快照区与文件系统共享。 用讲的好像很难懂，我们用图解说明 一下好了： 图14.3.3、LVM 快照区域的备 份示意图 14.3.5 LVM 的 LV 磁盘快照 16.3. 14.3 左图为最初创建 LV 磁盘快照区的状况，LVM 会预留一个区域 （左图的左侧三个 PE 区块） 作为数据存放处。 此时快照区内并没有任何数据，而快照区与系统区共享所有的 PE 数据， 因此你会看到快照区的内容与文件系统是 一模一样的。 等到系统运行一阵子后，假设 A 区域的数据被更动了 （上面右图所示），则更动前系统会将该区域 的数据移动到快照区， 所以在右图的快照区被占用了一块 PE 成为 的磁盘快照是非常棒的“备份工具”，因为他只有备份有被更动到的数据， 文件系统内没有 被变更的数据依旧保持在原本的区块内，但是 LVM 快照功能会知道那些数据放置在哪里， 因此“快照”当时的文件系 统就得以“备份”下来，且快照所占用的容量又非常小！所以您说，这不是很棒的工具又是什么？ 那么快照区要如何创建与使用呢？首先，由于快照区与原本的 LV 共享很多 PE 区块，因此快照区与被快照的 LV

master, upstream, and pristine-tar branches. 如果上游软件包支持“make dist”或者等效的目标，您可以使用 -d 选项从上游源码树版本控制系统 中得到上游代码的快照。 $ cd /path/to/upstream-vcs $ debmake -d -i debuild 除此之外，也可使用 -t 选项以使用 tar 命令生成上游源码包。 $ cd /path/to/upstream-vcs /path/to/upstream-vcs $ debmake -p package -t -i debuild 除非您明确使用 -u 选项或者在 debian/changelog 文件中提前指定好版本号，默认情况下快照生成的 上游版本号将应用协调世界时的日期和时间使用 0~%y%m%d%H%M 格式生成，例如 0~1403012359。 如果上游版本控制系统位于 软件包名/ 目录而非任意的 上游版本控制系统/ 目录，参数中的“-p 包名”这部分可以跳过。 如果版本控制系统中的上游源码树包含了 debian/* 文件，debmake 命令在带有 -d 选项或者 -t 选项并 结合 -i 选项可以自动化进行使用这些 debian/* 文件从版本控制系统快照中构建非原生软件包的流程。 $ cp -r /path/to/package-0~1403012359/debian/. /path/to/upstream-vcs/debian $ dch .

Btrfs 上製作系統快照。 軟體包 流行度 大小 說明 etckeeper V:26, I:30 164 使用 Git（預設）、Mercurial 或 GNU Bazaar 來儲存配置檔案和它 們的元資料 timeshift V:5, I:9 3421 使用 rsync 或 BTRFS 快照的系統恢復工具 snapper V:4, I:5 2419 Linux 檔案系統快照管理工具 Table 點！ 提示 如果你需要更快更頻繁的進行大資料備份，那麼通過高速網路連線的遠端主機上的硬碟來實現備份，可能是唯一可 行的方法。 提示 如果你在使用一個可重複寫入的介質作為你的備份介質，使用支援只讀快照的 btrfs 或 zfs 檔案系統，也許是一個 好注意。 10.1.7 可移動儲存裝置 可移動儲存裝置可能是以下的任何一種。 • USB 快閃記憶體盤 • 硬碟驅動器 • 光碟驅動器 • ext2 在裝有老舊 linux 系統的硬碟上的資料分享 ext3 在裝有老舊 linux 系統的硬碟上的資料分享 ext4 在裝有較新的 linux 系統的硬碟上的資料分享 btrfs 使用只讀快照在裝有較新的 Linux 系統的硬碟上共享資料 Table 10.3: 典型使用場景下可移動儲存裝置可選擇的檔案系統列表 當使用 FAT 或 ISO9660 檔案系統分享資料時，如下是需要注意的安全事項。

com/PbuilderHowto (优化: cowbuilder ccache distcc) ▶ schroot 和 sbuild: 用于 Debian 构建后台 (不如 pbuilder 简单，但允许使用 LVM 快照 详见：https://help.ubuntu.com/community/SbuildLVMHowto ) ▶ 生成 .deb 文件和 .changes 文件 ▶ .changes: 说明构建了哪些东西；上传软件包的时候用到

cowbuilder ccache distcc) ▶ schroot 和 sbuild: 被 Debian build daemons 所使用 (不若 pbuilder 簡單, 但能使用 LVM 快照功能 參照: https://help.ubuntu.com/community/SbuildLVMHowto ) ▶ 產生 .deb 檔案以及 .changes 檔案 ▶ .changes: 描述構建哪些東西;

景下，容器的冷启动速度和底噪开销无法满足业务场景单节点上万实例的 快速执行和处理诉求。 本特性提供了基于 WebAssembly 技术的安全沙箱能力，将函数部署在 Wasm 安全沙箱中，实现函数隔离的前提下，解 决高并发场景下容器冷启动速度慢和内存底噪开销大的问题。 功能描述 轻量级 Wasm 沙箱引擎整体功能主要由以下两个关键组件提供： 1. Wasm 函数管理框架 • 支持监听处理高并发量函数请求 launcher，使目标应用可以运行在隔离的 CPU 资源上，为 HPC 业务提供低噪声的隔离执行环境。 功能描述 HCK 的功能由两部分组成： 1. 内核态的底座部分 内核态底座部分提供的功能如下： • CPU 噪声移植：将影响应用波动性的系统噪声从隔离核上迁移出 • CPU 隔离管理：在系统启动时对指定的 CPU 标记预留 • 任务域管理：在隔离的 CPU 上运行进程时，进行任务域创建，亲和性配置等功能 拓扑过滤：控制 proc、sysfs 下部分接口获取 CPU 拓扑时的可见范围 2. 用户态工具部分 用户态工具提供的功能，是对接内核态上述功能提供的 sysfs 接口供用户使用，将目标应用运行在指定的隔离 CPU 上。 HPC 业务特征大部分符合 BSP 模型 (Bulk Synchronous Parallel Computing)：并行计算 + 通信 + 同步。系统噪声对这 类业务特征有较大