Microsoft публикува дистрибуция на Azure Linux 3.0

Компания Microsoft публикува новата стабилна версия на дистрибутива Azure Linux 3.0, преди известен като CBL-Mariner. Дистрибутивът се развива като универсална базова платформа за Linux среди, използвани в облачна инфраструктура, edge системи и различни услуги на Microsoft. Проектът е насочен към унифициране на Linux решенията, използвани в Microsoft, и опростяване на поддръжката на Linux системи с различно предназначение. Разработките на проекта са лицензирани под MIT. Пакетите са налични за архитектури aarch64 и x86_64. Размерът на инсталационния образ е 740 MB.

Сред измененията в новата версия:

• Ядрото на Linux е обновено до версия 6.6 (предишно ядро 5.15). Добавена е поддръжка за налагане на пачове на работещото ядро (live patching), което позволява коригиране на уязвимости в ядрото без рестартиране.
• Предложени са нови версии на пакети, сред които systemd 255, glibc 2.38, GCC 13.2, clang 18.1, OpenSSL 3.3, rpm 4.18.2, ruby 3.3.0, BIND 9.20, containerd 1.7.13, kunc 1.1.12, ostree 2024.5, rust 1.75, Perl 5.38, Python 3.12.3, QEMU 8.2.0.
• Системата за принудителен контрол на достъпа SELinux по подразбиране е променена в режим „enforcing“.
• По подразбиране е активирана унифицирана йерархия cgroups v2. Ключовото отличие на cgroups v2 от v1 е използването на обща йерархия cgroups за всички видове ресурси, вместо разделени йерархии за разпределение на ресурси CPU, управление на паметта и входа/изхода.
• Добавени са инструменти за замяна на други дистрибуции (OSsku In-Place Migration) на възли в облака Microsoft Azure, например, можете да замените инсталирания Ubuntu с Azure Linux.
• Добавена е поддръжка за нови GPU NVIDIA, като NVIDIA A100 и H100, а също така е предоставен NVIDIA GPU Operator за автоматизация на управлението на драйверите NVIDIA на възли с Azure Linux.

Дистрибуцията Azure Linux предлага малък стандартен набор от основни пакети, които служат като универсална основа за създаване на контейнери, хостинг среди и услуги, изпълнявани в облачни инфраструктури и на edge устройства. По-сложни и специализирани решения могат да бъдат създадени чрез добавяне на допълнителни пакети върху Azure Linux, но основата за всички подобни системи остава непроменена, което улеснява поддръжката и подготовката на актуализации.

Например, Azure Linux се използва като основа за мини-дистрибуцията WSLg, в която се предоставят компоненти на графичния стек за организиране на стартиране на GUI-приложения Linux в среди на базата на подсистемата WSL2 (Windows Subsystem for Linux). Разширената функционалност в WSLg се реализира чрез включване на допълнителни пакети с композитен. сървър Weston, XWayland, PulseAudio и FreeRDP.

За управлението на услугите и натоварването се използва системният мениджър systemd. За управление на пакетите се предоставят пакетни мениджъри RPM и DNF. SSH сървърът по подразбиране не е активиран. За инсталиране на дистрибуцията се предлагат инсталатор, който може да работи както в текстов, така и в графичен режим. В инсталатора има възможност за инсталиране с пълен или базов набор от пакети, предлагат се интерфейси за избор на дисков дял, избор на име на хост и създаване на потребители.

Системата за изграждане Azure Linux позволява генерирането както на отделни RPM пакети, базирани на SPEC файлове и изходен код, така и на монолитни системни образи, формирани с помощта на инструмента rpm-ostree и обновявани атомарно без разделяне на отделни пакети. Съответно се поддържат два модела на доставка на обновления: чрез обновление на отделни пакети и чрез преизграждане и обновление на целия системен образ. На разположение е репозиторий, който включва около 3000 вече компилирани RPM пакети, които могат да се използват за композиране на собствени образи на базата на конфигурационен файл.

Основната платформа включва само най-необходимите компоненти и е оптимизирана за минимално потребление на памет и дисково пространство, както и за висока скорост на зареждане. В проекта се използва подходът „максимална сигурност по подразбиране“, който предвижда включване на различни допълнителни механизми за увеличаване на защитата:

• Филтриране на системни повици чрез механизма seccomp.
• Шифрована дискови дялове.
• Верификация на пакети по цифров подпис.
• Рандомизация на адресното пространство.
• Защита от атаки, свързани със символични линкове, mmap, /dev/mem и /dev/kmem.
• Режим само за четене и забрана за изпълнение на код в области на паметта, в които са разположени сегменти с данни на ядрото и модули.
• Опция за забрана за зареждане на модули на ядрото след инициализация на системата.
• Използване на iptables за филтриране на мрежови пакети.
• Включване при изграждане на режимите за защита от препълване на стека, буфери и проблеми с форматирането на низове (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro).

Източник: opennet.ru