Ubuntu: Enterprise Store verteilt Snaps ohne direkten Internetzugang

Effiziente Softwareverteilung in restriktiven Umgebungen

Canonical hat mit dem Enterprise Store eine neue Lösung vorgestellt, die speziell auf die Bedürfnisse von Unternehmen mit hohen Sicherheitsanforderungen zugeschnitten ist. Das System fungiert als lokaler Proxy für die Verteilung von Snap-Paketen in Netzwerken, in denen der direkte Zugriff auf das Internet aus Sicherheitsgründen stark limitiert oder vollständig untersagt ist. Damit reagiert der Hersteller auf den Bedarf in regulierten Branchen, die auf eine kontrollierte Software-Infrastruktur angewiesen sind.

Der Enterprise Store ist als Weiterentwicklung des bisherigen Snap Store Proxy konzipiert. Ziel ist es, die direkte Kommunikation jedes einzelnen Endgeräts mit dem öffentlichen Snap Store zu unterbinden. Stattdessen fungiert eine zentrale Instanz innerhalb des Unternehmensnetzes als Knotenpunkt. Diese Instanz ruft die benötigten Pakete ab, speichert sie in einem lokalen Cache und verteilt sie an die internen Clients weiter. Dies reduziert nicht nur den Bandbreitenbedarf bei wiederholten Downloads, sondern ermöglicht auch eine zentrale Kontrolle über die installierten Softwareversionen.

Flexibilität durch Offline-Modus und Versionierung

Ein wesentlicher Vorteil der Lösung ist die Unterstützung von sogenannten Air-Gap-Umgebungen. In vollständig abgeschotteten Netzwerken kann der Enterprise Store als lokaler Snap Store betrieben werden. Administratoren haben dabei die Möglichkeit, benötigte Snap-Pakete sowie die dazugehörigen Metadaten über ein System mit Internetzugang zu exportieren und anschließend in die isolierte Umgebung zu importieren.

Zusätzlich bietet das System ein gezieltes Versionsmanagement, das sogenannte Pinning. Administratoren können festlegen, welche spezifische Revision eines Pakets an die Clients ausgeliefert wird. Dies verhindert, dass sich Systeme während des laufenden Betriebs durch automatische Updates unerwartet auf eine neuere Version umstellen, was in produktiven Umgebungen zu Kompatibilitätsproblemen führen könnte.

Integration von Charms und Sicherheitsaspekte

Neben Snap-Paketen unterstützt der Enterprise Store im Offline-Modus auch Charms und Charm-Bundles aus dem Juju-Ökosystem. Diese fungieren als Operatoren, die das Wissen über Konfiguration, Skalierung und Integration von Anwendungen kapseln. Es ist jedoch zu beachten, dass der Enterprise Store keine APT-Pakete oder weitere Laufzeitabhängigkeiten abdeckt; diese müssen von den Unternehmen separat bereitgestellt werden. Auch für Kubernetes-Charms ist eine zusätzliche, eigenständige OCI-Registry für Container-Images erforderlich.

Ein zentraler Punkt bei der Implementierung ist die Wahrung der Sicherheit. Laut Canonical bleiben die Integritätsmechanismen der Snap-Pakete vollständig erhalten. Die kryptografischen Nachweise werden nicht verändert, sodass der Snapd-Dienst auf den Zielsystemen weiterhin in der Lage ist, die Herkunft und Integrität der Pakete wie gewohnt zu validieren. Der Enterprise Store dient somit lediglich als kontrollierter Verteilpunkt, ohne die Sicherheitsarchitektur von Snap zu untergraben.

Skalierbarkeit und Verfügbarkeit

Für den produktiven Einsatz in größeren Unternehmensumgebungen lässt sich der Enterprise Store skalieren. Mehrere Instanzen können hinter einem Reverse Proxy betrieben werden, um Hochverfügbarkeit zu gewährleisten. Der Proxy übernimmt dabei nicht nur die Lastverteilung, sondern erkennt durch Health-Checks auch ausgefallene Instanzen und leitet Anfragen automatisch auf verfügbare Einheiten um.

Die Lösung ist Bestandteil von Ubuntu Pro. Während das Angebot für die private Nutzung auf bis zu fünf Maschinen kostenfrei ist, benötigen Unternehmen für Installationen mit mehr als 25 Clients eine entsprechende Lizenz. Canonical bietet zudem Unterstützung bei der Planung und dem Betrieb in hochregulierten Umgebungen an, um Unternehmen bei der Implementierung dieser neuen Infrastrukturkomponente zu begleiten.