Что? Какие ещё разрешения приложений и отбирание возможностей пользователя? Вы о чём вообще и как сюда вообще контейнеры натянулись? Для вас Security Hardening — матные слова, что ли?
Apple Containers архитектурно прекрасны тем, как они реализовали микро-виртуализацию через Virtualization.framework. Там происходит настоящая магия оптимизации памяти: код ядра и системные библиотеки держатся в памяти в едином Read-Only шаблоне, а каждая микро-ВМ использует Copy-on-Write (CoW) только для своих изменений.
В итоге старт микро-ВМ идет на миллисекунды, оверхед по RAM минимальный (не нужно плодить дубликаты ядра в памяти), а изоляция честная — у каждого контейнера свой независимый runtime на уровне гипервизора.
И тут вопрос не только безопасности: один большой монолитный процесс со старым демоном в одной общей ВМ — это одна большая точка отказа. Тот факт, что у Apple получилось и скорость с экономией памяти получить (через CoW-шаблоны памяти), и честную изоляцию без единой точки отказа дать — это отличный инженерный результат.
Я сам далеко не фанат Apple, но как SRE говорю: их подход к контейнеризации — это пример отличной архитектуры, до которой WSLC, увы, не дорос.
Остаться на последней версии они не могут — их CVE загрызут.
Форкнуть могут, но будут ли они поддерживать форк? Оно им точно надо? Сообщество может форкнуть, но потом они быстро упрутся в тот факт, что Moby — это технологически отсталый монолит, который очень сложно нормально поддерживать. Вряд ли запала сообщества даже на пару лет поддержки хватит.
Текущий мув Мелкомягких — это классический фазовый переход от Embrace к Extend (с прицелом на Extinguish) в их известном мотто. Тихое объявление войны Докеру, от которого немного пострадают все. Передать Moby в CNCF у Докера тоже не выйдет — у CNCF уже есть containerd, и тянуть второй монолитный рантайм им нафиг не упёрлось.
По итогу более вероятно, что Докер начнёт закручивать гайки вокруг Docker Hub ещё сильнее (даже несмотря на то, что Майкрософт и тут им на пятки с GHCR наступает). Потому что с потерей основного источника доходов от энтерпрайс-лицензий Docker Desktop Докеру (как компании) придётся совсем плохо.
В долгосрочной перспективе это всё в целом хорошо для всей экосистемы, но в краткосрочной перспективе нужно быть готовым переходить на nerdctl и podman, потому что шансы потери актуальности у Докера крайне неплохие.
Это настолько архитектурно расстраивает, что я не могу. Мелкомягкие пошли по пути наименьшего сопротивления и что-то мне подсказывает что это выстрелит им в ногу по итогу.
Я думал что Майкрософт делают что-то вроде Apple Container - красивая архитектура с микро-вмками. Или же хорошо изолированная среда внутри WSL, где всё в три слоя контейнезировано как черепашки.
Но вместо этого они туда вхреначили Moby. Даже не containerd с их собственным runhcs, а прям Moby. Осталось буквально полшага, чтобы сразу wslcontainerdesktop упомянутый в их анонсе ставить или что-то от самих Майков... Чтобы отлично влететь на грабли.
Ведь Moby-то нифига не часть CNCF. И как после такого наглого мува, когда они буквально отжирают бизнес-аудиторию Докер Десктопа, используя ДВИЖОК ПРИНАДЛЕЖАЩИЙ ДОКЕРУ... Шансы что на моби лицензия поменяется, а Майкрософт останутся с удивлённым лицом пикачу, мягко говоря, не малые. Не, они конечно могут форкнуть и поддерживать свой движок в этом случае, но чёт сама идея бодаться с Докером за главный денежный рынок Докера используя сам же движок Докера попахивает идиотизмом.
Не то чтобы совсем необычная, скорее показательный опенвошинг. Технически нарушений лицензии нет, но напускная опен-сорсность, создающая доверие к продукту есть. Громадный респект автору статьи что не сдался и переписал - большинство в такой бы ситуации просто забили бы.
Успех PostgreSQL напоминает мне успех Стима. Он тихо развивается и добавляет новые фичи, без пафоса, а конкуренция стреляет себе в голову (базы данных ОСОБЕННО любят смены лицензий - MongoDB, CockroachDB, Redis и так далее).
На Рег.ру у меня уже месяц цирк с конями с этим. Попытался авторизироваться - пришёл отказ. Оказалось что домен зареган на мой старый паспорт (который в 14 лет выдают). Запустил обновление данных, которое вот только сегодня закончилось, но теперь ссылка связи с госуслугами зато не работает. Каеф.
Вдвойне кайф что для актуализации данных я и так им паспорт загрузил, но почему-то этого мало.
Или ваши разработчики постоянно в разъездах и пишут код в дороге между командировками?
Ну вообще в большей части бигтеха опен спейс офисы без фиксированных мест. Ноутбук если что берут, домой, с ним идут в переговорку, для него ищут свободное место...
Что же до вопроса, в FAQ ничего на эту тему нет и, вероятно, не просто так. Nested virtualization вообще больное место любых гипервизоров.
С офисами в больших компаниях часто выходит овербук. Сотрудников больше чем мест. Чтобы не выделять каждому своё место, проще выдать нотбук, ведь тогда это проблема работника, где ему работать, а не отвественность работодателя
Могли бы по приколу SteamOs/Bazzite туда по умолчанию поставить. Всё равно бесплатно же 😏
В Стим Машине, кстати, стоит не Ryzen 7600x, а мобильный Ryzen 5 7540U. Поэтому замечание про L3 кэш память не верное, оно как раз таки одинаковое с Машиной.
Ну и грамотный пиар в общем-то у ретейлера. Дешевле машины, такой же плюс минус формат, плюс апгрейдить можно.
P. S. Почему новость о французском ретейлере ведёт на китайский сайт, лол?
Мы не знаем что творим, не знаем стандарты индустрии, не знаем нормальную автоматизацию, не знаем что нам нужно, поэтому мы захреначили все данные какие нашли в Json на 10 000 строк и доверили ИИ мартышкам следить за ним.
Работаю в компании где вся инфраструктура ipv6-only (забугорный телеком). За последние четыре года прям очень чувствуется что ipv6 дал по газам — уже часто всё работает из коробки, без этого неловкого оборачивания айпишников в квадратные скобочки и замены 0.0.0.0 на [::] в конфигах (очень частое было явление, когда формально поддержка ipv6 есть, а по факте нормально не тестировали или тестировали в dual stack'е).
Так что верно идём в будущее. Уже здесь и домашние интернеты в городах все ipv6 обмазаны, почти все мобильные операторы ipv6-only. Как будто бы полный переход в ближайшие десять лет, с устареванием старого оборудования, почти неизбежен
Зависит от целей. Если нужен "тупо бакет", то Garage Если потециально в будущем нужно скалировать и внедрять глубокие фичи, то SeeweedFS Есть ещё RustFS который позиционирует себя как Minio здорового человека
Все три можно легко подцепить одним контейнером вместо Minio в данном случае.
Ну а сам Minio использовать не рекомендуется, потому что в 2025 они сказали "пока-пока" сначала админке, а потом опен сорсу в целом, переименовались в AIStor и стали просить много денег.
Статья как будто бы на несколько лет устарела. И YaSTa в Суси больше нет, и CachyOS рядом с манжарой не упомянут, и весь зоопарк Федоры... Статья нейронкой чтоль написана?
Вообще лучший способ получить фан и проверить знания дистров это поиграть в крокодила с дистрами: https://distro.fedesito.me/
Как мне повезло, всю свою карьеру работал всегда в этом волшебном 1%...
просто вы не захотели с этим разобраться
А зачем, простите?.. Звучит как документооборот каменного века. Мне сложно представить чтобы после созвона департамента на 200+ людей кто-то сказал "а теперь пожалуйста выстроетесь в очередь и заполняйте эксельку с данными вашего отдела когда закончит предыдущий".
Заменить его есть чем
И... Чем? Уважаемый, я SRE в другой стране, скалирования софта на много юзеров буквально моя работа. Деплой который потянет 100 людей, 1000 людей и 10000 людей это совсем разные деплои, сложность которых растёт по экспоненте.
Если у вас есть реально опыт работы с OSS заменами Exchange на 10000 юзеров, мне интересно послушать, без иронии.
Что? Какие ещё разрешения приложений и отбирание возможностей пользователя? Вы о чём вообще и как сюда вообще контейнеры натянулись? Для вас Security Hardening — матные слова, что ли?
Apple Containers архитектурно прекрасны тем, как они реализовали микро-виртуализацию через Virtualization.framework. Там происходит настоящая магия оптимизации памяти: код ядра и системные библиотеки держатся в памяти в едином Read-Only шаблоне, а каждая микро-ВМ использует Copy-on-Write (CoW) только для своих изменений.
В итоге старт микро-ВМ идет на миллисекунды, оверхед по RAM минимальный (не нужно плодить дубликаты ядра в памяти), а изоляция честная — у каждого контейнера свой независимый runtime на уровне гипервизора.
И тут вопрос не только безопасности: один большой монолитный процесс со старым демоном в одной общей ВМ — это одна большая точка отказа. Тот факт, что у Apple получилось и скорость с экономией памяти получить (через CoW-шаблоны памяти), и честную изоляцию без единой точки отказа дать — это отличный инженерный результат.
Я сам далеко не фанат Apple, но как SRE говорю: их подход к контейнеризации — это пример отличной архитектуры, до которой WSLC, увы, не дорос.
Остаться на последней версии они не могут — их CVE загрызут.
Форкнуть могут, но будут ли они поддерживать форк? Оно им точно надо? Сообщество может форкнуть, но потом они быстро упрутся в тот факт, что Moby — это технологически отсталый монолит, который очень сложно нормально поддерживать. Вряд ли запала сообщества даже на пару лет поддержки хватит.
Текущий мув Мелкомягких — это классический фазовый переход от Embrace к Extend (с прицелом на Extinguish) в их известном мотто. Тихое объявление войны Докеру, от которого немного пострадают все. Передать Moby в CNCF у Докера тоже не выйдет — у CNCF уже есть containerd, и тянуть второй монолитный рантайм им нафиг не упёрлось.
По итогу более вероятно, что Докер начнёт закручивать гайки вокруг Docker Hub ещё сильнее (даже несмотря на то, что Майкрософт и тут им на пятки с GHCR наступает). Потому что с потерей основного источника доходов от энтерпрайс-лицензий Docker Desktop Докеру (как компании) придётся совсем плохо.
В долгосрочной перспективе это всё в целом хорошо для всей экосистемы, но в краткосрочной перспективе нужно быть готовым переходить на nerdctl и podman, потому что шансы потери актуальности у Докера крайне неплохие.
Это настолько архитектурно расстраивает, что я не могу. Мелкомягкие пошли по пути наименьшего сопротивления и что-то мне подсказывает что это выстрелит им в ногу по итогу.
Я думал что Майкрософт делают что-то вроде Apple Container - красивая архитектура с микро-вмками. Или же хорошо изолированная среда внутри WSL, где всё в три слоя контейнезировано как черепашки.
Но вместо этого они туда вхреначили Moby. Даже не containerd с их собственным runhcs, а прям Moby. Осталось буквально полшага, чтобы сразу wslcontainerdesktop упомянутый в их анонсе ставить или что-то от самих Майков... Чтобы отлично влететь на грабли.
Ведь Moby-то нифига не часть CNCF. И как после такого наглого мува, когда они буквально отжирают бизнес-аудиторию Докер Десктопа, используя ДВИЖОК ПРИНАДЛЕЖАЩИЙ ДОКЕРУ... Шансы что на моби лицензия поменяется, а Майкрософт останутся с удивлённым лицом пикачу, мягко говоря, не малые. Не, они конечно могут форкнуть и поддерживать свой движок в этом случае, но чёт сама идея бодаться с Докером за главный денежный рынок Докера используя сам же движок Докера попахивает идиотизмом.
Не то чтобы совсем необычная, скорее показательный опенвошинг. Технически нарушений лицензии нет, но напускная опен-сорсность, создающая доверие к продукту есть. Громадный респект автору статьи что не сдался и переписал - большинство в такой бы ситуации просто забили бы.
Успех PostgreSQL напоминает мне успех Стима. Он тихо развивается и добавляет новые фичи, без пафоса, а конкуренция стреляет себе в голову (базы данных ОСОБЕННО любят смены лицензий - MongoDB, CockroachDB, Redis и так далее).
На Рег.ру у меня уже месяц цирк с конями с этим. Попытался авторизироваться - пришёл отказ. Оказалось что домен зареган на мой старый паспорт (который в 14 лет выдают). Запустил обновление данных, которое вот только сегодня закончилось, но теперь ссылка связи с госуслугами зато не работает. Каеф.
Вдвойне кайф что для актуализации данных я и так им паспорт загрузил, но почему-то этого мало.
Как среда разборки и тестирования — прилично хуже. Просто тулзов недостаточно.
Как среда запуска контейнеров — архитектурно значительно элегантнее и безопаснее.
Ну вообще в большей части бигтеха опен спейс офисы без фиксированных мест. Ноутбук если что берут, домой, с ним идут в переговорку, для него ищут свободное место...
Что же до вопроса, в FAQ ничего на эту тему нет и, вероятно, не просто так. Nested virtualization вообще больное место любых гипервизоров.
Эх, если бы.
С офисами в больших компаниях часто выходит овербук. Сотрудников больше чем мест. Чтобы не выделять каждому своё место, проще выдать нотбук, ведь тогда это проблема работника, где ему работать, а не отвественность работодателя
Могли бы по приколу SteamOs/Bazzite туда по умолчанию поставить. Всё равно бесплатно же 😏
В Стим Машине, кстати, стоит не Ryzen 7600x, а мобильный Ryzen 5 7540U. Поэтому замечание про L3 кэш память не верное, оно как раз таки одинаковое с Машиной.
Ну и грамотный пиар в общем-то у ретейлера. Дешевле машины, такой же плюс минус формат, плюс апгрейдить можно.
P. S. Почему новость о французском ретейлере ведёт на китайский сайт, лол?
Мда.
Мы не знаем что творим, не знаем стандарты индустрии, не знаем нормальную автоматизацию, не знаем что нам нужно, поэтому мы захреначили все данные какие нашли в Json на 10 000 строк и доверили ИИ мартышкам следить за ним.
Великолепный план. Надёжный как швейцарские часы.
Работаю в компании где вся инфраструктура ipv6-only (забугорный телеком). За последние четыре года прям очень чувствуется что ipv6 дал по газам — уже часто всё работает из коробки, без этого неловкого оборачивания айпишников в квадратные скобочки и замены 0.0.0.0 на [::] в конфигах (очень частое было явление, когда формально поддержка ipv6 есть, а по факте нормально не тестировали или тестировали в dual stack'е).
Так что верно идём в будущее. Уже здесь и домашние интернеты в городах все ipv6 обмазаны, почти все мобильные операторы ipv6-only. Как будто бы полный переход в ближайшие десять лет, с устареванием старого оборудования, почти неизбежен
Ну Ceph это уж точно не то решение, которое можно в докер композ запихнуть, лол
Май 2025: MinIO вырезал адмику из бесплатой версии
Октябрь 2025: MinIO перестал публиковать бинарники и образы Docker'а. "Сами собирайте из сорцов"
Декабрь 2025: MinIO в гитхабе объявили что проект в "Режиме Поддержки" и больше никаких фич не будет
В 2026 они архивировали репозиторий вообще.
Всем кто уже сидит на нём они радостно предлагают перейти за многоденег на их коммерческий MinIO AIStor
Зависит от целей. Если нужен "тупо бакет", то Garage
Если потециально в будущем нужно скалировать и внедрять глубокие фичи, то SeeweedFS
Есть ещё RustFS который позиционирует себя как Minio здорового человека
Все три можно легко подцепить одним контейнером вместо Minio в данном случае.
Ну а сам Minio использовать не рекомендуется, потому что в 2025 они сказали "пока-пока" сначала админке, а потом опен сорсу в целом, переименовались в AIStor и стали просить много денег.
Minio в 2026 это, конечно, интересный выбор. 🤔
А почему эта модель? На ваших спеках можно новую Qwen3.6 35B A3B запустить и она будет значительно лучше
Upd: прочитал ваши ответы, понял что глупый вопрос, игнорируйте пожалуйста.
Статья как будто бы на несколько лет устарела. И YaSTa в Суси больше нет, и CachyOS рядом с манжарой не упомянут, и весь зоопарк Федоры... Статья нейронкой чтоль написана?
Вообще лучший способ получить фан и проверить знания дистров это поиграть в крокодила с дистрами: https://distro.fedesito.me/
Как мне повезло, всю свою карьеру работал всегда в этом волшебном 1%...
А зачем, простите?.. Звучит как документооборот каменного века. Мне сложно представить чтобы после созвона департамента на 200+ людей кто-то сказал "а теперь пожалуйста выстроетесь в очередь и заполняйте эксельку с данными вашего отдела когда закончит предыдущий".
И... Чем? Уважаемый, я SRE в другой стране, скалирования софта на много юзеров буквально моя работа. Деплой который потянет 100 людей, 1000 людей и 10000 людей это совсем разные деплои, сложность которых растёт по экспоненте.
Если у вас есть реально опыт работы с OSS заменами Exchange на 10000 юзеров, мне интересно послушать, без иронии.