Pagpagawas sa Bottlerocket 1.2, usa ka pag-apod-apod base sa nahilit nga mga sudlanan

Доступен выпуск Linux-дистрибутива Bottlerocket 1.2.0, развиваемого при участии компании Amazon для эффективного и безопасного запуска изолированных контейнеров. Инструментарий и управляющие компоненты дистрибутива написаны на языке Rust и распространяются под лицензиями MIT и Apache 2.0. Поддерживается запуск Bottlerocket в кластерах Amazon ECS, VMware и AWS EKS Kubernetes, а также создание произвольных сборок и редакций, допускающих применение различных инструментов оркестровки и runtime для контейнеров.

Дистрибутив предоставляет атомарно и автоматически обновляемый неделимый системный образ, включающий ядро Linux и минимальное системное окружение, включающие только компоненты, необходимые для запуска контейнеров. В окружении задействованы системный менеджер systemd, библиотека Glibc, сборочный инструментарий Buildroot, загрузчик GRUB, конфигуратор сети wicked, runtime для изолированных контейнеров containerd, платформа оркестровки контейнеров Kubernetes, аутентификатор aws-iam-authenticator и агент Amazon ECS.

Ang mga himan sa pag-orkestra sa sudlanan moabut sa usa ka bulag nga sudlanan sa pagdumala nga gipagana pinaagi sa default ug gidumala pinaagi sa API ug AWS SSM Agent. Ang base nga imahe kulang sa usa ka command shell, SSH server ug gihubad nga mga pinulongan (pananglitan, walay Python o Perl) - ang mga himan sa administratibo ug mga himan sa pag-debug gibutang sa usa ka bulag nga sudlanan sa serbisyo, nga gibabagan sa default.

Ключевым отличием от похожих дистрибутивов, таких как Fedora CoreOS, CentOS/Red Hat Atomic Host является первичная ориентация на предоставление максимальной безопасности в контексте усиления защиты системы от возможных угроз, усложнения эксплуатации уязвимостей в компонентах ОС и повышения изоляции контейнеров. Контейнеры создаются при помощи штатных механизмов ядра Linux — cgroups, пространств имён и seccomp. Для дополнительной изоляции в дистрибутиве применяется SELinux в режиме «enforcing».

Ang root partition kay gi-mount read-only, ug ang /etc settings partition kay gi-mount sa tmpfs ug gibalik sa iyang orihinal nga kahimtang human sa restart. Ang direkta nga pagbag-o sa mga file sa /etc nga direktoryo, sama sa /etc/resolv.conf ug /etc/containerd/config.toml, dili suportado - aron permanente nga makatipig sa mga setting, kinahanglan nimo nga gamiton ang API o ibalhin ang gamit sa lain nga mga sudlanan. Ang dm-verity module gigamit sa cryptographicly pagmatuod sa integridad sa root partition, ug kon ang usa ka pagsulay sa pag-usab sa data sa block device nga lebel makita, ang sistema reboots.

Kadaghanan sa mga sangkap sa sistema gisulat sa Rust, nga naghatag mga bahin nga luwas sa panumduman aron malikayan ang mga kahuyangan nga gipahinabo sa pagkahuman sa wala’y bayad nga pag-access sa memorya, mga wala’y kapilian nga pointer, ug mga overrun sa buffer. Kung magtukod pinaagi sa default, ang mga mode sa compilation nga "-enable-default-pie" ug "-enable-default-ssp" gigamit aron mahimo ang randomization sa executable file address space (PIE) ug proteksyon batok sa mga stack overflows pinaagi sa canary substitution. Alang sa mga pakete nga gisulat sa C/C++, ang mga bandera nga “-Wall”, “-Werror=format-security”, “-Wp,-D_FORTIFY_SOURCE=2”, “-Wp,-D_GLIBCXX_ASSERTIONS” ug “-fstack-clash” dugang pa. gipalihok -proteksyon".

Sa bag-ong pagpagawas:

• Gidugang nga suporta alang sa mga salamin sa rehistro sa imahe sa sulud.
• Gidugang ang abilidad sa paggamit sa mga sertipiko nga gipirmahan sa kaugalingon.
• Gidugang nga kapilian aron ma-configure ang hostname.
• Ang default nga bersyon sa administratibong sudlanan gi-update.
• Gidugang ang topologyManagerPolicy ug topologyManagerScope settings para sa kubelet.
• Gidugang nga suporta alang sa kernel compression gamit ang zstd algorithm.
• Ang kapabilidad sa pag-boot sa VMware anaa na karon. virtual nga mga makina sa OVA (Open Virtualization Format) nga pormat.
• Ang bersyon sa pag-apod-apod nga aws-k8s-1.21 gi-update nga adunay suporta alang sa Kubernetes 1.21. Ang suporta alang sa aws-k8s-1.16 gihunong na.
• Gi-update nga mga bersyon sa pakete ug mga dependency alang sa Rust nga pinulongan.

Source: opennet.ru