WSL containers algemeen beschikbaar, met Intune-beleid voor toegestane registries

Microsoft heeft WSL containers algemeen beschikbaar gemaakt. Met de functie kunnen Linux-containers rechtstreeks vanuit Windows worden gebouwd, gedraaid en beheerd, zonder aparte containerruntime. Dat schrijft Logan Iyer, corporate vice president Windows Platform + Developer, in een aankondiging op de Windows Developer Blog.

Wie het wil proberen, werkt WSL bij met wsl --update of haalt de laatste release van GitHub. Daarna zijn er twee ingangen: de CLI wslc.exe, met een ingebouwde alias container.exe voor wie de vertrouwde containercommando's wil gebruiken, en een API waarmee native Windows-apps programmatisch Linux-containers kunnen starten. Microsoft noemt daarbij lokale AI-workloads en het lokaal draaien van cloudapplicaties als voorbeelden.

Wat er sinds de preview bij is gekomen

Sinds de public preview heeft Microsoft de nadruk gelegd op dagelijkse workflows, inzicht in draaiende omgevingen en beheer op schaal. Nieuw in de GA-release zijn onder meer:

• wslc container restart om een draaiende container te herstarten
• wslc container cp om bestanden via een tar-archief in en uit een container te kopieren
• wslc system info voor de staat van de containeromgeving in een oogopslag
• wslc network connect en wslc network disconnect om containers aan netwerken te koppelen en los te maken
• wslc network create met ondersteuning voor willekeurige netwerkdriver-opties
• wslc events voor een realtime stroom van containeractiviteit
• health checks voor containers
• --stop-timeout bij wslc create en wslc run, met -1 voor een oneindige timeout
• --mount bij wslc create en wslc run
• een instelbaar opslagpad voor de standaard wslc-sessie, zodat containeropslag op de gewenste schijf staat

Intune en Defender for Endpoint krijgen grip op containers

Voor beheerders is de interessantste stap dat WSL containers is opgenomen in bestaande Microsoft-beheerlagen. De plug-in van Microsoft Defender for Endpoint voor WSL is uitgebreid naar containers. MDE kan nu proces-, bestands- en netwerkactiviteit uit WSL-containers naar boven halen en die activiteit terugkoppelen aan de Windows-host, zodat securityteams verdacht gedrag kunnen onderzoeken zonder een aparte workflow.

Microsoft Intune heeft twee nieuwe instellingen gekregen die specifiek over deze functie gaan. Met 'Allow WSL containers access' kan de hele functie worden aan- of uitgezet. Met 'WSL containers registry allow list' kunnen beheerders bepalen uit welke registries ontwikkelaars images mogen halen, zodat alleen goedgekeurde bronnen worden gebruikt.

Dat maakt de functie een stuk bruikbaarder in beheerde omgevingen, waar een containerruntime die buiten het bestaande beleid valt vaak simpelweg niet wordt toegestaan.

Ecosysteem en wat er nog komt

Een aantal tools ondersteunt wslc inmiddels. In VS Code kan wslc als standaarddriver voor dev containers worden gebruikt, en de containerextensie voor VS Code werkt ermee. Aspire kan wslc als volwaardige containerruntime inzetten. Verder noemt Microsoft community-projecten als Lazywslc, een TUI-dashboard voor WSL-containers, WSL Container Desktop, een WinUI 3-app die ook Kubernetes via k3s en containerregistries beheert, en WSLc remote, een wrapper om wslc vanuit een WSL-distro aan te roepen.

Het meestgevraagde ontbrekende stuk is compose-ondersteuning, en dat wordt volgens Microsoft de focus van de volgende iteraties. Het doel is dat bestaande compose.yaml-bestanden ongewijzigd blijven werken. Daarnaast onderzoekt het team verbeteringen aan de kern van WSL zelf, waaronder netwerken en de prestaties van bestandstoegang tussen de twee besturingssystemen.

Microsoft zet daarmee een lijn door waarin Linux op Windows niet alleen een ontwikkelomgeving is, maar meedraait in dezelfde security-, beheer- en governancekaders als de rest van het Windows-landschap.