Компания Amazon обявиха относно окончателното издание Бутилка — специализирана дистрибуция за управление на контейнери и ефективното им управление.

Bottlerocket (между другото, името, дадено на малки домашни ракети с черен барут) не е първата операционна система за контейнери, но е вероятно тя да стане широко разпространена благодарение на интеграцията по подразбиране с услугите на AWS. Въпреки че системата е фокусирана върху облака на Amazon, кодът с отворен код позволява тя да бъде изградена навсякъде: локално на сървър, на Raspberry Pi, във всеки конкурентен облак и дори в среда без контейнери.

Това е напълно достоен заместител на дистрибуцията на CoreOS, която Red Hat погреба.

Всъщност отделът за уеб услуги на Amazon вече има Amazon Linux, който наскоро излезе във втората си версия: това е дистрибуция с общо предназначение, която може да се изпълнява в Docker контейнер или с Linux KVM, Microsoft Hyper-V и VMware ESXi хипервайзори. Беше оптимизиран да работи в облака на AWS, но с пускането на Bottlerocket всеки се насърчава да надстрои до нова система, която е по-сигурна, модерна и използва по-малко ресурси.

AWS обяви Bottlerocket през март 2020г. Тя веднага призна, че това не е първият „Linux за контейнери“, цитирайки CoreOS, Rancher OS и Project Atomic като източници на вдъхновение. Разработчиците написаха, че операционната система е „резултат от уроците, които сме научили от пускането на производствени услуги в мащаба на Amazon за дълго време и опита, който сме натрупали през последните шест години за това как да управляваме контейнери“.

Изключителен минимализъм

Linux е лишен от всичко, което не е необходимо за изпълнение на контейнери. Този дизайн, според компанията, намалява повърхността за атака.

Това означава, че по-малко пакети са инсталирани на базовата система, което улеснява поддръжката и актуализирането на операционната система, а също така намалява вероятността от проблеми поради зависимости, намалявайки използването на ресурси. По принцип всичко тук работи в отделни контейнери, а основната система е практически гола.

Amazon също така премахна всички обвивки и интерпретатори, елиминирайки риска те да бъдат използвани или потребителите случайно да ескалират привилегиите. В името на минимализма и сигурността базовото изображение не включва командна обвивка, SSH сървър или интерпретирани езици като Python. Инструментите на администратора се поставят в отделен сервизен контейнер, който е деактивиран по подразбиране.

Системата се управлява по два начина: чрез API и оркестрация.

Вместо мениджър на пакети, който актуализира отделни части от софтуера, Bottlerocket изтегля пълен образ на файловата система и се рестартира в него. Ако зареждането е неуспешно, то автоматично се връща обратно и повреда на работното натоварване може да задейства ръчно връщане назад (команда чрез API).

рамка TUF (The Update Framework) изтегля базирани на изображения актуализации към алтернативни или „немонтирани“ дялове. За системата се разпределят два дискови дяла, единият от които съдържа активната система, а актуализацията се копира на втория. В този случай основният дял се монтира в режим само за четене, а дялът /etc монтиран с файловата система в RAM tmpfs и възстановява първоначалното състояние след рестартиране. Директна промяна на конфигурационните файлове в /etc не се поддържа: за да запазите настройките, трябва да използвате API или да преместите функционалността в отделни контейнери.

Схема за актуализиране на API

сигурност

Контейнерите се създават от стандартните механизми на Linux ядрото - cgroups, namespaces и seccomp и се използват като система за принудителен контрол на достъпа, тоест за допълнителна изолация SELinux в режим "налагане".

По подразбиране политиките са активирани за споделяне на ресурси между контейнерите и ядрото. Двоичните файлове са защитени с флагове, за да се попречи на потребителите или програмите да ги изпълнят. И ако човек стигне до файловата система, Bottlerocket предлага инструмент за проверка и проследяване на всички направени промени.

Режимът „потвърдено зареждане“ се реализира чрез функцията за верност на устройство-картограф (dm-истина), който проверява целостта на основния дял по време на зареждане. AWS описва dm-verity като „функция на ядрото на Linux, която осигурява проверки на целостта, за да предотврати стартирането на зловреден софтуер в операционната система, като например презаписване на основния системен софтуер.“

В системата има и филтър eGMP (разширен BPF, разработен от Алексей Старовойтов), което позволява модулите на ядрото да бъдат заменени с по-сигурни BPF програми за системни операции на ниско ниво.

Модел на изпълнение
Дефиниран от потребителя
компилация
сигурност
Режим на отказ
Достъп до ресурси

Потребител
задачата
да
Който и да е
потребителски права
прекъсване на изпълнението
системно повикване, грешка

Ядрото
задачата
не
статичен
не
паника на ядрото
направо

BPF
събитие
да
JIT, CO-RE
проверка, JIT
съобщение за грешка
ограничени помощници

Как BPF се различава от обикновен потребител или код на ниво ядро източник

AWS каза, че Bottlerocket „използва оперативен модел, който допълнително подобрява сигурността чрез предотвратяване на връзки към производствени сървъри с административни привилегии“ и е „подходящ за големи разпределени системи, където контролът върху всеки отделен хост е ограничен“.

За системните администратори е осигурен администраторски контейнер. Но AWS не смята, че администраторът ще трябва често да работи в Bottlerocket: „Актът на влизане в отделен екземпляр на Bottlerocket е предназначен за редки операции: разширено отстраняване на грешки и отстраняване на проблеми,“ пиша разработчици.

Ръждив език

Инструментите на ОС над ядрото са написани предимно на Rust. Този език е по своята същност намалява вероятността от опасен достъп до паметтаИ елиминира условията на състезание между нишките.

Флаговете се прилагат по подразбиране при изграждане --enable-default-pie и --enable-default-ssp за активиране на рандомизация на адресното пространство на изпълними файлове (позиционно независим изпълним файл, PIE) и защита от препълване на стека.

За C/C++ пакети са включени допълнителни флагове -Wall, -Werror=format-security, -Wp,-D_FORTIFY_SOURCE=2, -Wp,-D_GLIBCXX_ASSERTIONS и -fstack-clash-protection.

Освен Rust и C/C++, някои пакети са написани на Go.

Интеграция с AWS услуги

Разликата от подобни контейнерни операционни системи е, че Amazon е оптимизирал Bottlerocket да работи на AWS и да се интегрира с други AWS услуги.

Най-популярният оркестратор на контейнери е Kubernetes, така че AWS въведе интеграция със собствената си Enterprise Kubernetes Service (EKS). Инструментите за оркестрация се доставят в отделен контролен контейнер bottlerocket-container-container, който е активиран по подразбиране и се управлява чрез API и AWS SSM Agent.

Ще бъде интересно да се види дали Bottlerocket ще се развие, предвид провала на някои подобни инициативи в миналото. Например PhotonOS от Vmware се оказа непотърсена, а RedHat купи CoreOS и затвори проекта, който се смяташе за пионер в областта.

Интегрирането на Bottlerocket в услугите на AWS прави тази система уникална по свой начин. Това е може би основната причина някои потребители да предпочитат Bottlerocket пред други дистрибуции като CoreOS или Alpine. Първоначално системата е проектирана да работи с EKS и ECS, но повтаряме, че това не е необходимо. Първо, Bottlerocket може сглобете сами и да го използвате например като хоствано решение. Второ, потребителите на EKS и ECS все още ще имат възможността да избират своята операционна система.

Изходният код на Bottlerocket е публикуван в GitHub под лиценза Apache 2.0. Разработчиците вече са отговарят на доклади за грешки и заявки за функции.

Относно правата на рекламата

VDSina оферти VDS с ежедневно плащане. Възможно е да инсталирате всяка операционна система, включително от собствен образ. Всеки сървър е свързан към интернет канал от 500 мегабита и е защитен от DDoS атаки безплатно!

Източник: www.habr.com