传统 Linux 发行版按包安装，安装顺序、状态脚本与文件系统结构差异，会让同一配置在不同机器上落盘成不同的字节，这就是运维中难以根治的漂移问题。Amutable 的方案是在构建期用发行版软件包预先组装不可变磁盘镜像，使每台部署机器上的系统内容逐字节一致，运行期差异只保留在本地状态里。

技术要点

• 镜像采用可发现磁盘镜像形式：EROFS 文件系统加 Verity 完整性数据与签名，封装在 GPT 分区中；内核以统一内核镜像交付，受安全启动与可信平台模块度量保护。
• 体积大或场景化的部件拆为系统扩展，配置拆为配置扩展并额外加密，按检测到的硬件与云环境自动装配，原子生效、不存在半完成状态。
• 默认不安装 shell、SSH 与常见脚本解释器，完全禁用 SUID、SGID 与文件能力，仅允许签名镜像激活，并内置恢复出厂状态的能力。
• 控制平面通过节点周期性报告与远程认证形成加密封闭循环，机会性地使用可信平台模块、AMD SEV 与 Intel TDX，缺少硬件支持时退化为纯软件签名。

对企业 IT 的意义在于把补丁、配置与审计合并成同一条可验证链路：机队中每台节点的组件构成都有防篡改台账，适合节点数量大、人工介入少的基础设施。但该项目仍处于私有预览阶段，其构建依赖 Fedora 软件包、与 systemd 深度绑定带来的迁移成本，以及由供应商掌控签名体系带来的退出风险，都需要在评估阶段重点验证。

来源：LWN，原文。