Microsoft публикува първия стабилен релиз на Linux дистрибуцията CBL-Mariner

Компания Microsoft публикува нова версия на дистрибуцията CBL-Mariner 1.0 (Common Base Linux Mariner), която е белязана като първи стабилен релиз на проекта. Дистрибуцията CBL-Mariner се развива като универсална основна платформа за Linux среди, използвани в облачната инфраструктура, edge системите и различни услуги на Microsoft. Проектът цели унифицирането на прилаганите в Microsoft Linux решения и опростяването на поддръжката на Linux системи с различно предназначение в актуално състояние. Наработките на проекта се разпространяват с лиценз MIT.

Дистрибуцията предоставя малък типови комплект основни пакети, които служат като универсална основа за изграждане на контейнерни приложения, хостни среди и услуги, които работят в облачни инфраструктури и на edge устройства. По-сложни и специализирани решения могат да бъдат създавани чрез добавяне на допълнителни пакети върху CBL-Mariner, но основата за всички подобни системи остава непроменена, което опростява поддръжката и подготовката на актуализации.

Например, CBL-Mariner се прилага като основа за мини-дистрибуцията WSLg, в която се предоставят компоненти на графичния стек за организиране на изпълнението на GUI приложения на Linux в среди, базирани на WSL2 (Windows Subsystem for Linux). Основата на този дистрибутив остава непроменена, а разширената функционалност се реализира чрез включване на допълнителни пакети с композитен. сървър Weston, XWayland, PulseAudio и FreeRDP.

Системата за сборка CBL-Mariner позволява генерирането както на отделни RPM пакети на базата на SPEC файлове и изходни текстове, така и на монолитни системни образи, формируеми с помощта на инструменти rpm-ostree и обновляеми атомно без разбивка на отделни пакети. Съответно, се поддържат две модели за доставка на актуализации: чрез обновление на отделни пакети и чрез преизграждане и актуализиране на целия системен образ. Дистрибуцията включва само най-необходимите компоненти и е оптимизирана за минимално потребление на памет и дисково пространство, както и за висока скорост на зареждане. Дистрибуцията също така се отличава с включването на различни допълнителни механизми за повишаване на защитата.

В проекта се прилага подход "максимална сигурност по подразбиране". Предоставя се възможност за филтриране на системни повиквания чрез механизма seccomp, криптиране на дисковите дялове, верификация на пакети по цифров подпис. На етапа на компилация по подразбиране са включени режими на защита от преливане на стека, преливане на буфера и проблеми с форматирането на низове (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro). Активирани са поддържаните в ядрото Linux режими на рандомизация на адресното пространство, както и механизми за защита срещу атаки, свързани с символични връзки, mmap, /dev/mem и /dev/kmem. За областите на паметта, в които се разполагат сегменти с данни от ядрото и модули, е зададен режим само за четене и е забранено изпълнението на код. Опционално е налична възможността за забрана на зареждането на ядрови модули след инициализацията на системата. За филтриране на мрежови пакети е използван инструментариумът iptables.

Готовые ISO-образы не предоставляются. Подразумевается, что пользователь может сам создать образ с необходимой начинкой (cборочные инструкции предоставлены для Ubuntu 18.04). Доступен репозиторий с уже собранными RPM-пакетами, который можно использовать для компоновки собственных образов на основе файла конфигурации. В репозитории предложено около 3300 пакетов. Например, для сборки полного iso-образа достаточно выполнить: git clone https://github.com/microsoft/CBL-Mariner.git cd CBL-Mariner/toolkit sudo make iso REBUILD_TOOLS=y REBUILD_PACKAGES=n CONFIG_FILE=./imageconfigs/full.json

За управление на услугите и зареждането се използва системен мениджър systemd. За управление на пакетите се предоставят пакетни менеджери RPM и DNF (вариант tdnf от vmWare). SSH-сървърът по подразбиране не е активиран. За инсталацията на дистрибутива се предоставя инсталатор, който може да работи както в текстов, така и в графичен режим. В инсталатора има възможност за инсталация с пълен или базов комплект пакети, предлага се интерфейс за избор на дисков дял, избор на име на хост и създаване на потребители.

Източник: opennet.ru