Společnost Microsoft zveřejnila první stabilní aktualizaci nové verze distribuce CBL-Mariner 2.0 (Common Base Linux Mariner), která se vyvíjí jako univerzální základní platforma pro linuxová prostředí používaná v cloudové infrastruktuře, edge systémech a různých službách Microsoftu. Projekt se zaměřuje na unifikaci používaných linuxových řešení v Microsoftu a zjednodušení udržování linuxových systémů různých účelů v aktuálním stavu. Výstupy projektu jsou šířeny pod licencí MIT. Sestavení balíčků je vytvářeno pro architektury aarch64 a x86_64.
Nové vydání se vyznačuje významnou aktualizací verzí programů. Mezi ně patří aktualizované verze Linuxového jádra 5.15 (v rámci větve 1.0 bylo použito jádro 5.4), systemd 250, glibc 2.35, GCC 11.2, clang 12, Python 3.9, ruby 3.1.2, rpm 4.17, qemu 6.1, perl 5.34, ostree 2022.1. Základní repozitář zahrnuje komponenty pro vytváření grafického rozhraní, jako je Wayland 1.20, Mesa 21.0, GTK 3.24 a X.Org Server 1.20.10, které byly dříve dodávány v samostatném repozitáři coreui. Přidány byly sestavení jádra s opravami PREEMPT_RT pro použití v systémech pracujících v reálném čase.
Distribuce CBL-Mariner poskytuje malou typovou sadu základních balíčků, které slouží jako univerzální základ pro vytváření kontejnerů, hostitelských prostředí a služeb spuštěných v cloudových infrastrukturách a na edge zařízeních. Složitější a specializovaná řešení mohou být vytvářena přidáním dalších balíčků nad CBL-Mariner, ale základ pro všechny takové systémy zůstává neměnný, což zjednodušuje údržbu a přípravu aktualizací. Například, CBL-Mariner se používá jako základ mini distribuce WSLg, ve které jsou poskytovány komponenty grafického zásobníku pro organizaci spuštění GUI aplikací Linux v prostředích založených na subsystému WSL2 (Windows Subsystem for Linux). Rozšířená funkčnost ve WSLg se realizuje prostřednictvím zahrnutí dalších balíčků s kompozitním. serverem Weston, XWayland, PulseAudio a FreeRDP.
Systém sestavení CBL-Mariner umožňuje generovat jak jednotlivé RPM balíčky na základě SPEC souborů a zdrojových textů, tak monolitické systémové obrazy, které jsou vytvářeny pomocí nástrojů rpm-ostree a aktualizovány atomicky, bez rozdělení na jednotlivé balíčky. Tím pádem jsou podporovány dvě modely dodávání aktualizací: prostřednictvím aktualizace jednotlivých balíčků a prostřednictvím přestavby a aktualizace celého systémového obrazu. K dispozici je repozitář, který zahrnuje přibližně 3000 již sestavených RPM balíčků, který lze využít k sestžení vlastních obrazů na základě konfiguračního souboru.
Distribuce zahrnuje pouze nejzákladnější komponenty a je optimalizována pro minimální spotřebu paměti a diskového prostoru, stejně jako pro vysokou rychlost načítání. Distribuce je také zajímavá zahrnutím různých dodatečných mechanismů pro zvýšení zabezpečení. V projektu je aplikován přístup „maximální bezpečnost ve výchozím nastavení“. Je poskytnuta možnost filtrování systémových volání pomocí mechanismu seccomp, šifrování diskových oddílů a verifikace balíčků podle digitálního podpisu.
Byly aktivovány podporované režimy randomizace adresního prostoru v jádře Linux a také mechanismy ochrany proti útokům souvisejícím se symbolickými odkazy, mmap, /dev/mem a /dev/kmem. Pro oblasti paměti, ve kterých jsou umístěny segmenty s daty jádra a modulů, je nastaven režim pouze pro čtení a je zakázáno provádění kódu. Volitelně je k dispozici možnost zakázat načítání modulů jádra po inicializaci systému. Pro filtrování síťových paketů je použit nástroj iptables. Během sestavení jsou ve výchozím nastavení povoleny ochranné režimy proti přetečení zásobníku, přetečení bufferu a problémům s formátováním řetězců (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro).
Pro správu služeb a zatížení se používá systémový správce systemd. Pro správu balíčků jsou dodávány balíčkové správce RPM a DNF. SSH server není při instalaci ve výchozím nastavení zapnut. Pro instalaci distribuce je k dispozici instalátor, který může fungovat jak v textovém, tak v grafickém režimu. Instalátor poskytuje možnost instalace s plným nebo základním souborem balíčků, nabízí rozhraní pro výběr diskové partition, volbu názvu hostitele a vytváření uživatelů.
Zdroj: opennet.ru
