Майкрософт публикува дистрибуцията Azure Linux 3.0

Компанията Microsoft публикува първото стабилно обновление на новата версия на дистрибуцията Azure Linux 3.0, която по-рано се разпространяваше под името CBL-Mariner. Дистрибуцията се развива като универсална базова платформа за Linux среди, използвани в облачната инфраструктура, edge системи и различни услуги на Microsoft. Проектът е насочен към унификация на използваните в Microsoft Linux решения и опростяване поддържането на Linux системи за различни цели в актуално състояние. Резултатите от проекта се разпространяват под лиценза MIT. Сборките на пакети се формират за архитектури aarch64 и x86_64. Размерът на инсталационния образ е 740 MB.

Сред промените в новата версия:

• Ядрото на Linux е обновено до версия 6.6 (по-рано беше използвано ядро 5.15). Добавена е поддръжка за прилагане на пачове на работещото ядро (live patching), което позволява отстраняване на уязвимости в ядрото без рестартиране.
• Предложени са нови версии на пакети, сред които systemd 255, glibc 2.38, GCC 13.2, clang 18.1, OpenSSL 3.3, rpm 4.18.2, ruby 3.3.0, BIND 9.20, containerd 1.7.13, кunc 1.1.12, ostree 2024.5, rust 1.75, Perl 5.38, Python 3.12.3, QEMU 8.2.0.
• Системата за принудителен контрол на достъпа SELinux по подразбиране е настроена в режим „enforcing“.
• По подразбиране е задействана унифицираната йерархия cgroups v2. Ключовото отличие на cgroups v2 от v1 е приложението на обща йерархия cgroups за всички видове ресурси, вместо отделни йерархии за разпределение на ресурси на CPU, за регулиране на потреблението на памет и за вход/изход.
• Добавени са инструменти за замяна на други дистрибуции (OSsku In-Place Migration) на възлите в облака Microsoft Azure, например, може да се замени инсталирания Ubuntu с Azure Linux.
• Добавена е поддръжка за нови GPU NVIDIA, като NVIDIA A100 и H100, както и предоставен NVIDIA GPU Operator за автоматизация на управлението на драйверите NVIDIA на възли с Azure Linux.

Дистрибуцията Azure Linux осигурява малък стандартен комплект основни пакети, които служат като универсална основа за изграждане на контейнерни приложения, хост-окружения и услуги, изпълнявани в облачни инфраструктури и на edge устройства. По-сложни и специализирани решения могат да бъдат изградени чрез добавяне на допълнителни пакети върху Azure Linux, но основата за всички подобни системи остава неизменна, което опростява поддръжката и подготовката на обновления.

Например, Azure Linux служи като основа на мини дистрибутива WSLg, в който се предоставят компоненти на графичния стек за организиране на стартиране на GUI приложения на Linux в среди, базирани на WSL2 (Windows Subsystem for Linux). Разширената функционалност в WSLg се реализира чрез включване на допълнителни пакети с композити. сървъра. Weston, XWayland, PulseAudio и FreeRDP.

За управление на услугите и зареждането се използва системният мениджър systemd. За управление на пакети се предоставят пакетни мениджъри RPM и DNF. SSH сървърът по подразбиране не е включен. За инсталиране на дистрибутива се предлага инсталатор, който може да работи както в текстов, така и в графичен режим. В инсталатора се предлага възможност за инсталиране с пълен или основен набор от пакети, предлага се интерфейс за избор на дисково разделение, избор на името на хоста и създаване на потребители.

Системата за изграждане Azure Linux позволява генерирането както на отделни RPM пакети на базата на SPEC файлове и изходен код, така и на монолитни системни образи, формирани с помощта на инструменти rpm-ostree и обновявани атомарно без разбивка на отделни пакети. Съответно се поддържат два модела за доставка на актуализации: чрез актуализация на отделни пакети и чрез пресъздаване и обновление на целия системен образ. Наличен е репозиторий, включващ около 3000 вече събрани RPM пакета, които могат да бъдат използвани за съставяне на собствени образи на базата на конфигурационен файл.

Основната платформа включва само най-необходимите компоненти и е оптимизирана за минимално потребление на памет и дисково пространство, както и за висока скорост на зареждане. В проекта се прилага подходът „максимална безопасност по подразбиране“, който предвижда включване на различни допълнителни механизми за повишаване на защитата:

• Филтриране на системни повиквания с помощта на механизма seccomp.
• Шифроване на дискови дялове.
• Верификация на пакети чрез цифров подпис.
• Рандомизация на адресното пространство.
• Защита от атаки, свързани със символични линкове, mmap, /dev/mem и /dev/kmem.
• Режим само за четене и забрана за изпълнение на код в области на паметта, в които се намират сегменти с данни на ядрото и модули.
• Опция за забрана на зареждането на модули на ядрото след инициализация на системата.
• Използване на iptables за филтриране на мрежови пакети.
• Включване при изграждане на режими за защита срещу преливане на стека, преливане на буфери и проблеми с форматирането на низове (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro).

Източник: opennet.ru