Компания Microsoft публикува обновление на Linux дистрибуцията CBL-Mariner

Компания Microsoft публикува обновление на дистрибуцията CBL-Mariner 1.0.20210901 (Common Base Linux Mariner), която се разработва като универсална основна платформа за Linux среди, използвани в облачна инфраструктура, edge системи и различни услуги на Microsoft. Проектът цели унифициране на използваните в Microsoft Linux решения и опростяване на поддръжката на Linux системи с различно предназначение в актуално състояние. Разработките на проекта са с MIT лиценз.

В новото издание:

• Започна формирането на основен ISO образ (700 МБ). В първия релиз готови ISO образи не бяха предоставени, като се има предвид, че потребителят може сам да създаде образ с необходимото съдържание (инструкции за сборка са подготвени за Ubuntu 18.04).
• Реализирана е поддръжка за автоматично обновление на пакети, за което в състава е включено приложението Dnf-Automatic.
• Linux ядрото е обновено до версия 5.10.60.1. Обновени са версиите на програмите, включително openvswitch 2.15.1, golang 1.16.7, logrus 1.8.1, tcell 1.4.0, gonum 0.9.3, testify 1.7.0, crunchy 0.4.0, xz 0.5.10, swig 4.0.2, squashfs-tools 4.4, mysql 8.0.26.
• В OpenSSL е предоставена възможност за възстановяване на поддръжката на TLS 1 и TLS 1.1.
• За проверка на изходните текстове на инструмента е използвана утилита sha256sum.
• В състава са включени нови пакети: etcd-tools, cockpit, aide, fipscheck, tini.
• Премахнати са пакетите brp-strip-debug-symbols, brp-strip-unneeded и ca-legacy. Премахнати са SPEC файловете за пакетите Dotnet и aspnetcore, които сега се изграждат от основния екип на разработчиците на .NET и се разполагат в отделен репозитори.
• В използваните версии на пакетите са пренесени поправки за уязвимости.

Напомняме, че дистрибуцията CBL-Mariner предоставя малък стандартен набор от основни пакети, представляващи универсална основа за изграждане на съдържание за контейнери, хостинг среди и услуги, изпълнявани в облачни инфраструктури и на edge устройства. По-сложни и специализирани решения могат да бъдат създадени чрез добавяне на допълнителни пакети върху CBL-Mariner, но основата за всички подобни системи остава непроменена, което опростява поддръжката и подготовката на актуализации. Например, CBL-Mariner се използва като основа за мини дистрибуцията WSLg, в която се предоставят компоненти на графичния стек за организиране на стартиране на GUI приложения Linux в среди, базирани на подсистемата WSL2 (Windows Subsystem for Linux). Разширената функционалност в WSLg се реализира чрез включване на допълнителни пакети с композитен. сървър Weston, XWayland, PulseAudio и FreeRDP.

Системата за изграждане CBL-Mariner позволява генериране както на отделни RPM пакети на базата на SPEC файлове и изходни текстове, така и на монолитни системни образи, формирани с помощта на инструменти rpm-ostree и актуализирани атомарно, без разбивка на отделни пакети. Съответно се поддържат две модели за доставка на актуализации: чрез актуализиране на отделни пакети и чрез реконструкция и актуализация на целия системен образ. На разположение е репозиториум, включващ около 3000 вече събрани RPM пакети, който може да се използва за компониране на собствени образи на базата на конфигурационния файл.

Дистрибуцията включва само най-необходимите компоненти и е оптимизирана за минимално потребление на памет и дисково пространство, както и за висока скорост на зареждане. Дистрибуцията е значима и с включването на различни допълнителни механизми за повишаване на защитата. В проекта се прилага подходът "максимална сигурност по подразбиране". Предоставя се възможност за филтриране на системни повици с помощта на механизма seccomp, криптиране на дискови дялове, проверка на пакети по цифров подпис.

Активирани са поддържаните в ядрото на Linux режими за рандомизация на адресното пространство, както и механизми за защита от атаки, свързани със символични връзки, mmap, /dev/mem и /dev/kmem. За зоните в паметта, където се разполагат сегменти с данни на ядрото и модули, е зададен режим само за четене и е забранено изпълнението на код. Опционално е налична възможност за забрана на зареждането на модули на ядрото след инициализацията на системата. За филтриране на мрежови пакети е използван инструментарий iptables. По подразбиране в етапа на компилация са активирани режимите за защита от препълване на стека, буфери и проблеми с форматирането на низове (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro).

За управление на услугите и зареждането се използва системен мениджър systemd. За управление на пакетите идват пакетни мениджъри RPM и DNF (вариант tdnf от vmWare). SSH-сървърът по подразбиране не е включен. За инсталиране на дистрибутива се предоставя инсталатор, който може да работи както в текстов, така и в графичен режим. В инсталатора се предоставя възможност за инсталиране с пълен или основен набор от пакети, предлага се интерфейс за избор на дисков дял, избор на име на хост и създаване на потребители.

Източник: opennet.ru