Společnost Microsoft vydala aktualizaci distribuce Azure Linux 3.0.20241101, která pokračuje ve vývoji stabilní větve 3.0, vytvořené v srpnu. Distribuce se vyvíjí jako univerzální základní platforma pro Linuxová prostředí, která se používají v cloudové infrastruktuře, edge systémech a různých službách Microsoftu. Vývoj projektu je distribuován pod licencí MIT. Sestavy balíčků jsou vytvářeny pro architektury aarch64 a x86_64. Velikost instalačního obrazu je 751 MB.
Mezi změnami v nové verzi:
- Pro systémy na bázi architektury ARM byla přidána podpora specifikace FF-A (Firmware Framework for Arm A-profile).
- Byl zahrnut modul jádra intel_ifs (In-Field Scan), který umožňuje spouštět na procesorech Intel nízkoúrovňové diagnostické testy CPU, schopné odhalit problémy, které nejsou určitelnými standardními prostředky na základě kódů opravy chyb (ECC) nebo bitů parit.
- Do zaváděcího programu GRUB2 byly přidány záznamy SBAT pro Fedora Linux.
- Při sestavování jádra byla zahrnuta konfigurace CONFIG_X86_AMD_PLATFORM_DEVICE, při které se specifická zařízení ACPI pro čipy AMD zpracovávají jako typová zařízení platformy, jako jsou I2C, UART a GPIO.
- Byla zajištěna funkčnost příkazů iptables prostřednictvím překladů pravidel do bajtkódu nftables (kromě iptables-legacy je zapojen balíček iptables-nft).
- Byly aktualizovány verze balíčků, mezi nimiž je jádro Linux 6.6.57, Go 1.23, OpenIPMI 2.0.36, libpcap 1.10.5, vim 9.1.0791, mysql 8.0.40, clamav 1.0.7, cloud-init 24.3.1, php 8.3.12, mdadm 4.3, libarchive 3.7.7.
Distribuce Azure Linux poskytuje malý standardní balíček základních balíčků, které slouží jako univerzální základ pro vytváření obsahu kontejnerů, hostitelských prostředí a služeb běžících v cloudových infrastrukturách a na edge zařízeních. Složitější a specializovanější řešení mohou být vytvářena přidáním dalších balíčků na vrchol Azure Linux, ale základ pro všechny tyto systémy zůstává nezměněn, což usnadňuje údržbu a přípravu aktualizací.
Azure Linux se používá jako základ mini-distrubuce WSLg, ve které jsou poskytovány komponenty grafického stacku pro spuštění GUI aplikací Linuxu v prostředích založených na subsystému WSL2 (Windows Subsystem for Linux). Rozšířená funkčnost ve WSLg se realizuje prostřednictvím zahrnutí dalších balíčků s kompozitními serverem Weston, XWayland, PulseAudio a FreeRDP.
Pro správu služeb a zatížení se používá systémový správce systemd. Pro správu balíčků jsou dodávány balíčkové správce RPM a DNF. SSH server není při instalaci ve výchozím nastavení zapnut. Pro instalaci distribuce je k dispozici instalátor, který může fungovat jak v textovém, tak v grafickém režimu. Instalátor poskytuje možnost instalace s plným nebo základním souborem balíčků, nabízí rozhraní pro výběr diskové partition, volbu názvu hostitele a vytváření uživatelů.
Systém sestavení Azure Linux umožňuje generovat jak jednotlivé RPM balíčky na základě SPEC souborů a zdrojových textů, tak monolitické systémové obrazy, které se vytvářejí pomocí nástrojů rpm-ostree a aktualizují se atomicky bez rozdělení na jednotlivé balíčky. Podporovány jsou tedy dva modely dodávání aktualizací: prostřednictvím aktualizace jednotlivých balíčků a prostřednictvím přestavby a aktualizace celého systémového obrazu. K dispozici je repozitář obsahující přibližně 3000 již zkompilovaných RPM balíčků, který lze použít k sestavení vlastních obrazů na základě konfiguračního souboru.
Základní platforma obsahuje pouze nezbytné komponenty a je optimalizována pro minimální spotřebu paměti a diskového prostoru, stejně jako pro vysokou rychlost spuštění. V projektu je aplikován přístup "maximální bezpečnost ve výchozím nastavení", který zahrnuje zapnutí různých dodatečných mechanismů pro zvýšení ochrany:
- Filtrování systémových volání pomocí mechanismu seccomp.
- Šifrování diskových partition.
- Ověřování balíčků pomocí digitálního podpisu.
- Randomizace adresního prostoru.
- Ochrana proti útokům týkajícím se symbolických odkazů, mmap, /dev/mem a /dev/kmem.
- Režim pouze pro čtení a zákaz spuštění kódu v oblastech paměti, kde jsou umístěny segmenty s daty jádra a modulů.
- Možnost zakázat načítání jádrových modulů po inicializaci systému.
- Použití iptables k filtrování síťových paketů.
- Zahrnutí při sestavování režimů ochrany proti přetečení zásobníku, přetečení bufferu a problémům s formátováním řetězců (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro).
Zdroj: opennet.ru
