Microsoft публикува актуализация на дистрибуцията CBL-Mariner Linux

Microsoft публикува актуализация на дистрибуцията CBL-Mariner 1.0.20210901 (Common Base Linux Mariner), която се разработва като универсална базова платформа за Linux среди, използвани в облачна инфраструктура, крайни системи и различни услуги на Microsoft. Проектът е насочен към унифициране на решенията на Microsoft Linux и опростяване на поддръжката на Linux системи за различни цели до момента. Разработките на проекта се разпространяват под лиценза на MIT.

В новата версия:

• Започна формирането на основния iso образ (700 MB). В първата версия не бяха предоставени готови ISO изображения; предполагаше се, че потребителят може да създаде изображение с необходимото запълване (инструкциите за сглобяване бяха подготвени за Ubuntu 18.04).
• Реализирана е поддръжка за автоматични актуализации на пакети, за което е включено приложението Dnf-Automatic.
• Ядрото на Linux е актуализирано до версия 5.10.60.1. Актуализирани версии на програмата, включително openvswitch 2.15.1, golang 1.16.7, logrus 1.8.1, tcell 1.4.0, gonum 0.9.3, testify 1.7.0, crunchy 0.4.0, xz 0.5.10, swig 4.0.2. 4.4, squashfs-инструменти 8.0.26, mysql XNUMX.
• OpenSSL предоставя опция за връщане на поддръжка за TLS 1 и TLS 1.1.
• За да проверите изходния код на инструментариума, се използва помощната програма sha256sum.
• Включени нови пакети: etcd-tools, cockpit, aide, fipscheck, tini.
• Пакетите brp-strip-debug-symbols, brp-strip-unneeded и ca-legacy са премахнати. Премахнати SPEC файлове за Dotnet и aspnetcore пакети, които сега са компилирани от основния екип за разработка на .NET и поставени в отделно хранилище.
• Корекциите на уязвимости са преместени в използваните версии на пакета.

Нека си припомним, че разпространението на CBL-Mariner предоставя малък стандартен набор от основни пакети, които служат като универсална основа за създаване на съдържанието на контейнери, хост среди и услуги, работещи в облачни инфраструктури и на крайни устройства. По-сложни и специализирани решения могат да бъдат създадени чрез добавяне на допълнителни пакети върху CBL-Mariner, но основата за всички такива системи остава същата, което прави поддръжката и актуализациите по-лесни. Например, CBL-Mariner се използва като основа за минидистрибуцията WSLg, която предоставя компоненти на графичен стек за стартиране на Linux GUI приложения в среди, базирани на подсистемата WSL2 (Windows Subsystem for Linux). Разширената функционалност в WSLg се реализира чрез включването на допълнителни пакети с Weston Composite Server, XWayland, PulseAudio и FreeRDP.

Системата за изграждане на CBL-Mariner ви позволява да генерирате както отделни RPM пакети, базирани на SPEC файлове и изходен код, така и монолитни системни изображения, генерирани с помощта на инструментариума rpm-ostree и актуализирани атомарно, без да се разделят на отделни пакети. Съответно се поддържат два модела за доставка на актуализация: чрез актуализиране на отделни пакети и чрез повторно изграждане и актуализиране на целия системен образ. Налично е хранилище от приблизително 3000 предварително изградени RPM пакета, които можете да използвате, за да създадете свои собствени изображения въз основа на конфигурационен файл.

Дистрибуцията включва само най-необходимите компоненти и е оптимизирана за минимална консумация на памет и дисково пространство, както и висока скорост на зареждане. Дистрибуцията се отличава и с включването на различни допълнителни механизми за подобряване на сигурността. Проектът използва подход „максимална сигурност по подразбиране“. Възможно е да се филтрират системни повиквания с помощта на механизма seccomp, да се криптират дискови дялове и да се проверяват пакети с помощта на цифров подпис.

Активирани са режимите на рандомизиране на адресното пространство, поддържани в ядрото на Linux, както и механизми за защита срещу атаки на символни връзки, mmap, /dev/mem и /dev/kmem. Областите на паметта, които съдържат сегменти с данни на ядрото и модула, са настроени на режим само за четене и изпълнението на код е забранено. Опция по избор е да деактивирате зареждането на модули на ядрото след инициализация на системата. Инструментариумът iptables се използва за филтриране на мрежови пакети. На етапа на изграждане защитата срещу препълване на стека, препълване на буфера и проблеми с форматирането на низ е активирана по подразбиране (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro).

Системният мениджър systemd се използва за управление на услуги и зареждане. За управление на пакети са осигурени пакетни мениджъри RPM и DNF (tdnf вариант от vmWare). SSH сървърът не е активиран по подразбиране. За да инсталирате дистрибуцията, е осигурен инсталатор, който може да работи както в текстов, така и в графичен режим. Инсталаторът предоставя опция за инсталиране с пълен или основен набор от пакети и предлага интерфейс за избор на дисков дял, избор на име на хост и създаване на потребители.

Източник: opennet.ru