Microsoft публикува първия стабилен релиз на Linux дистрибутива CBL-Mariner

Microsoft пусна дистрибуция CBL-Mariner 1.0 (Common Base Linux Mariner), която е определена като първия стабилен релиз на проекта. Дистрибуцията CBL-Mariner се развива като универсална основна платформа за Linux среди, използвани в облачната инфраструктура, edge системи и различни услуги на Microsoft. Проектът цели унифициране на Linux решенията, използвани от Microsoft, и опростяване на поддръжката на Linux системи с различно предназначение.

Дистрибуцията предоставя малък набор от основни пакети, които служат като универсална основа за изграждане на контейнери, хост среди и услуги, стартиращи в облачни инфраструктури и на edge устройства. По-сложни и специализирани решения могат да бъдат създавани чрез добавяне на допълнителни пакети към CBL-Mariner, но основата на всички подобни системи остава непроменена, което опростява поддръжката и подготовката на обновления.

Например, CBL-Mariner се използва като основа за мини-дистрибуция WSLg, в която се предоставят компоненти на графичния стек за стартиране на GUI приложения на Linux в среди, базирани на WSL2 (Windows Subsystem for Linux). Основата на този дистрибутив остава непроменена, а разширената функционалност се реализира чрез добавяне на допълнителни пакети. сървъра. Weston, XWayland, PulseAudio и FreeRDP.

Системата за изграждане CBL-Mariner позволява генерирането както на отделни RPM пакети на базата на SPEC файлове и изходен код, така и на монолитни системни образи, създавани с помощта на инструмента rpm-ostree и обновявани атомарно без разбивка на отделни пакети. Съответно, поддържат се две модели за доставка на обновления: чрез обновление на отделни пакети и чрез преизграждане и обновление на целия системен образ. Дистрибуцията включва само най-необходимите компоненти и е оптимизирана за минимално потребление на памет и дисково пространство, както и за висока скорост на зареждане. Дистрибуцията е забележителна и с включването на различни допълнителни механизми за повишаване на сигурността.

В проекта се прилага подход „максимална сигурност по подразбиране“. Осигурява се възможност за филтриране на системни обаждания с механизма seccomp, криптиране на дисковите раздели, верификация на пакети по цифров подпис. На етапа на сглобяване по подразбиране са включени режими за защита от препълване на стека, буферни препълвания и проблеми с форматирането на низове (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro). Активирани са поддържаните в ядрото Linux режими на разпределение на адресно пространство, както и механизми за защита от атаки, свързани с символни линкове, mmap, /dev/mem и /dev/kmem. За областите памет, в които се разполагат сегменти с данни на ядрото и модули, е зададен режим само за четене и е забранено изпълнението на код. По избор е налична възможност за забрана на зареждането на ядрени модули след инициализацията на системата. За филтриране на мрежови пакети е използван инструментариумът iptables.

Готовые ISO-образы не предоставляются. Подразумевается, что пользователь может сам создать образ с необходимой начинкой (cборочные инструкции предоставлены для Ubuntu 18.04). Доступен репозиторий с уже собранными RPM-пакетами, который можно использовать для компоновки собственных образов на основе файла конфигурации. В репозитории предложено около 3300 пакетов. Например, для сборки полного iso-образа достаточно выполнить: git clone https://github.com/microsoft/CBL-Mariner.git cd CBL-Mariner/toolkit sudo make iso REBUILD_TOOLS=y REBUILD_PACKAGES=n CONFIG_FILE=./imageconfigs/full.json

За управление на услугите и зареждането се използва системен мениджър systemd. За управление на пакетите се предлагат пакетни мениджъри RPM и DNF (вариант tdnf от vmWare). SSH-сървърът по подразбиране не е активиран. За инсталиране на дистрибутива се предлага инсталатор, който може да работи както в текстов, така и в графичен режим. В инсталатора се предоставя възможност за инсталиране с пълен или основен набор от пакети, предлагайки интерфейс за избор на дисков раздел, име на хост и създаване на потребители.

Източник: opennet.ru