Издание на Bottlerocket 1.1, дистрибутив основан на изолирани контейнери

Достъпен е новият Linux дистрибутив Bottlerocket 1.1.0, разработен с участието на Amazon за ефективно и безопасно стартиране на изолирани контейнери. Инструментите и управляващите компоненти на дистрибутива са написани на Rust и се разпространяват под лицензите MIT и Apache 2.0. Bottlerocket поддържа работа в клъстери Amazon ECS и AWS EKS Kubernetes, както и създаването на произволни сборки и редакции, допускащи различни инструменти за оркестрация и runtime за контейнери.

Дистрибутивът предоставя атомарно и автоматично обновяемо неделимо системно изображение, включващо ядро Linux и минимална системна среда, съдържаща само компоненти, необходими за стартиране на контейнери. В средата са включени системният мениджър systemd, библиотеката Glibc, сборъчният инструментариум Buildroot, зареждачът GRUB, конфигураторът на мрежата wicked, runtime за изолирани контейнери containerd, платформата за оркестрация на контейнери Kubernetes, аутентификаторът aws-iam-authenticator и агентът Amazon ECS.

Инструментите за оркестрация на контейнери се предоставят в отделен управляващ контейнер, който е включен по подразбиране и се управлява чрез API и AWS SSM Agent. В базовото изображение липсва команден интерфейс, сървър SSH и интерпретируемите езици (например, няма Python или Perl) — средствата за администратори и отладъчните инструменти са изнесени в отделен помощен контейнер, който по подразбиране е деактивиран.

Ключовата разлика от подобни дистрибутиви, като Fedora CoreOS, CentOS/Red Hat Atomic Host, е основната ориентация към предоставяне на максимална сигурност в контекста на усилването на защитата на системата от възможни заплахи, усложняване на експлоатацията на уязвимости в компонентите на ОС и повишаване на изолацията на контейнерите. Контейнерите се създават с помощта на стандартните механизми на ядрото Linux — cgroups, пространства за име и seccomp. За допълнителна изолация в дистрибутива се прилага SELinux в режим „enforcing“.

Коренният дял се монтира в режим само за четене, а дялът с настройки 등 монтируется в tmpfs и възстановява първоначалното състояние след рестарт. Пряко изменение на файловете в каталога 등, като 등/resolv.conf и 등/containerd/config.toml, не се поддържа — за дългосрочно запазване на настройките трябва да се използва API или да се изнасят функции в отделни контейнери. За криптографска проверка на целостта на коренния дял се използва модулът dm-verity, а при установяване на опити за модификация на данни на ниво блоково устройство системата се рестартира.

Повечето системни компоненти са написани на езика Rust, който предоставя средства за безопасна работа с паметта, позволяващи избягване на уязвимости, предизвикани от достъп до зоната на паметта след нейното освобождаване, разименоване на нулеви указатели и извън границите на буфера. При компилиране по подразбиране се използват режимите enable-default-pie и enable-default-ssp, за да се включи рандомизацията на адресното пространство на изпълнимите файлове (PIE) и защита от препълване на стека чрез подмяна на канарен маркер. За пакетите, написани на C/C++, допълнително се включват флаговете -Wall, -Werror=format-security, -Wp,-D_FORTIFY_SOURCE=2, -Wp,-D_GLIBCXX_ASSERTIONS и -fstack-clash-protection.

В новото издание:

• Предложени са две нови версии дистрибуциите aws-k8s-1.20 и vmware-k8s-1.20 с поддръжка на Kubernetes 1.20. В тези версии, както и в обновената версия aws-ecs-1, е използвано новото издание на ядрото Linux 5.10. Режимът lockdown по подразбиране е променен на "integrity" (блокира възможностите, позволяващи промени в работещото ядро от потребителското пространство). Поддръжката на версията aws-k8s-1.15 на базата на Kubernetes 1.15 е прекратена.
• За Amazon ECS е реализирана поддръжка на мрежов режим awsvpc, позволяващ отделяне на индивидуални мрежови интерфейси и вътрешни IP адреси за всяка задача.
• Добавени са настройки за управление на различни параметри на Kubernetes, включително QPS, лимити на пулове и възможност за свързване с облачни доставчици, различни от AWS.
• В bootstrap контейнера е осигурен контрол на достъпа до потребителски данни с помощта на SELinux.
• Добавен е инструмент resize2fs.

Източник: opennet.ru