Microsoft публикува дистрибуция на Azure Linux 3.0.20241101

Компания Microsoft публикува обновление на дистрибуцията Azure Linux 3.0.20241101, продължаваща развитието на стабилната версия 3.0, създадена през август. Дистрибуцията се развива като универсална базова платформа за Linux среди, използвани в облачната инфраструктура, edge системи и различни услуги на Microsoft. Резултатите от проекта са достъпни под MIT лиценз. Пакетите се компилират за архитектури aarch64 и x86_64. Размерът на инсталационния образ е 751 MB.

Сред промените в новата версия:

• За ARM архитектурите е добавена поддръжка на спецификацията FF-A (Firmware Framework for Arm A-profile).
• Включен е модулът на ядрото intel_ifs (In-Field Scan), който позволява извършването на нискоуровневи диагностични тестове на CPU на Intel, способни да открият проблеми, които не могат да бъдат определени с обичайни средства въз основа на кодове за корекция на грешки (ECC) или битове за четност.
• В загрузчика GRUB2 са добавени SBAT записи за Fedora Linux.
• При компилирането на ядрото е включена настройката CONFIG_X86_AMD_PLATFORM_DEVICE, при която специфичните за AMD чипове ACPI устройства се обработват като стандартни устройства на платформата, като I2C, UART и GPIO.
• Осигурена е работата на командите iptables чрез транслация на правилата в байткод на nftables (освен iptables-legacy, е активиран пакетът iptables-nft).
• Актуализирани са версиите на пакетите, включително ядрото Linux 6.6.57, Go 1.23, OpenIPMI 2.0.36, libpcap 1.10.5, vim 9.1.0791, mysql 8.0.40, clamav 1.0.7, cloud-init 24.3.1, php 8.3.12, mdadm 4.3, libarchive 3.7.7.

Дистрибуцията Azure Linux осигурява малък стандартен комплект основни пакети, които служат като универсална основа за изграждане на контейнерни приложения, хост-окружения и услуги, изпълнявани в облачни инфраструктури и на edge устройства. По-сложни и специализирани решения могат да бъдат изградени чрез добавяне на допълнителни пакети върху Azure Linux, но основата за всички подобни системи остава неизменна, което опростява поддръжката и подготовката на обновления.

Azure Linux се използва като основа на мини-дистрибутива WSLg, в който се предоставят компоненти на графичния стек за стартиране на GUI приложения на Linux в среди, базирани на WSL2 (Windows Subsystem for Linux). Разширената функционалност в WSLg се реализира чрез включване на допълнителни пакети с композитен сървъра. Weston, XWayland, PulseAudio и FreeRDP.

За управление на услугите и зареждането се използва системният мениджър systemd. За управление на пакети се предоставят пакетни мениджъри RPM и DNF. SSH сървърът по подразбиране не е включен. За инсталиране на дистрибутива се предлага инсталатор, който може да работи както в текстов, така и в графичен режим. В инсталатора се предлага възможност за инсталиране с пълен или основен набор от пакети, предлага се интерфейс за избор на дисково разделение, избор на името на хоста и създаване на потребители.

Системата за изграждане Azure Linux позволява генерирането както на отделни RPM пакети на базата на SPEC файлове и изходен код, така и на монолитни системни образи, формирани с помощта на инструменти rpm-ostree и обновявани атомарно без разбивка на отделни пакети. Съответно се поддържат два модела за доставка на актуализации: чрез актуализация на отделни пакети и чрез пресъздаване и обновление на целия системен образ. Наличен е репозиторий, включващ около 3000 вече събрани RPM пакета, които могат да бъдат използвани за съставяне на собствени образи на базата на конфигурационен файл.

Основната платформа включва само най-необходимите компоненти и е оптимизирана за минимално потребление на памет и дисково пространство, както и за висока скорост на зареждане. В проекта се прилага подходът „максимална безопасност по подразбиране“, който предвижда включване на различни допълнителни механизми за повишаване на защитата:

• Филтриране на системни повиквания с помощта на механизма seccomp.
• Шифроване на дискови дялове.
• Верификация на пакети чрез цифров подпис.
• Рандомизация на адресното пространство.
• Защита от атаки, свързани със символични линкове, mmap, /dev/mem и /dev/kmem.
• Режим само за четене и забрана за изпълнение на код в области на паметта, в които се намират сегменти с данни на ядрото и модули.
• Опция за забрана на зареждането на модули на ядрото след инициализация на системата.
• Използване на iptables за филтриране на мрежови пакети.
• Включване при изграждане на режими за защита срещу преливане на стека, преливане на буфери и проблеми с форматирането на низове (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro).

Източник: opennet.ru