Společnost Microsoft vydala aktualizaci distribuce CBL-Mariner 1.0.20210901 (Common Base Linux Mariner), která se vyvíjí jako univerzální základní platforma pro linuxová prostředí využívaná v cloudové infrastruktuře, edge systémech a různých službách Microsoftu. Projekt je zaměřen na sjednocení používaných linuxových řešení v Microsoftu a usnadnění údržby linuxových systémů různých zaměření v aktuálním stavu. Výstupy projektu jsou distribuovány pod licencí MIT.
V novém vydání:
- Začalo vytváření základního iso obrazu (700 MB). V prvním vydání nebyly k dispozici hotové ISO obrazy, bylo předpokládáno, že uživatel si může sám vytvořit obraz s požadovaným obsahem (pokyny k sestavení byly připraveny pro Ubuntu 18.04).
- Byla implementována podpora automatických aktualizací balíčků, pro což je součástí aplikace Dnf-Automatic.
- Jádro Linuxu bylo aktualizováno na verzi 5.10.60.1. Byly aktualizovány verze programů, včetně openvswitch 2.15.1, golang 1.16.7, logrus 1.8.1, tcell 1.4.0, gonum 0.9.3, testify 1.7.0, crunchy 0.4.0, xz 0.5.10, swig 4.0.2, squashfs-tools 4.4, mysql 8.0.26.
- V OpenSSL byla poskytnuta možnost návratu podpory TLS 1 a TLS 1.1.
- Pro kontrolu zdrojových kódů byla využita utilita sha256sum.
- Byly zahrnuty nové balíčky: etcd-tools, cockpit, aide, fipscheck, tini.
- Byly odebrány balíčky brp-strip-debug-symbols, brp-strip-unneeded a ca-legacy. Byly odstraněny SPEC soubory pro balíčky Dotnet a aspnetcore, které nyní sestavuje hlavní tým vývojářů .NET a umisťují se do samostatného repozitáře.
- Do používaných verzí balíčků byly přeneseny opravy zranitelností.
Připomínáme, že distribuce CBL-Mariner poskytuje malý typový balíček základních komponent, které tvoří univerzální základ pro vývoj kontejnerů, hostitelských prostředí a služeb běžících v cloudových infrastrukturách a na edge zařízeních. Složitější a specializovanější řešení mohou být vytvářena přidáním dalších balíčků nad CBL-Mariner, přičemž základ pro všechny takové systémy zůstává neměnný, což usnadňuje údržbu a přípravu aktualizací. Například CBL-Mariner slouží jako základ pro minidistrubuci WSLg, která poskytuje komponenty grafického stacku pro spuštění GUI aplikací Linux v prostředích založených na subsystému WSL2 (Windows Subsystem for Linux). Rozšířená funkcionalita v WSLg se realizuje zahrnutím dalších balíčků s kompozitním serverem Weston, XWayland, PulseAudio a FreeRDP.
Systém sestavení CBL-Mariner umožňuje generovat jak jednotlivé RPM balíčky na základě SPEC souborů a zdrojových textů, tak monolitické systémové obrazy, které jsou vytvářeny pomocí nástrojů rpm-ostree a aktualizovány atomicky, bez rozdělení na jednotlivé balíčky. Tím pádem jsou podporovány dvě modely dodávání aktualizací: prostřednictvím aktualizace jednotlivých balíčků a prostřednictvím přestavby a aktualizace celého systémového obrazu. K dispozici je repozitář, který zahrnuje přibližně 3000 již sestavených RPM balíčků, který lze využít k sestžení vlastních obrazů na základě konfiguračního souboru.
Distribuce zahrnuje pouze nejzákladnější komponenty a je optimalizována pro minimální spotřebu paměti a diskového prostoru, stejně jako pro vysokou rychlost načítání. Distribuce je také zajímavá zahrnutím různých dodatečných mechanismů pro zvýšení zabezpečení. V projektu je aplikován přístup „maximální bezpečnost ve výchozím nastavení“. Je poskytnuta možnost filtrování systémových volání pomocí mechanismu seccomp, šifrování diskových oddílů a verifikace balíčků podle digitálního podpisu.
Byly aktivovány podporované režimy randomizace adresního prostoru v jádře Linux a také mechanismy ochrany proti útokům souvisejícím se symbolickými odkazy, mmap, /dev/mem a /dev/kmem. Pro oblasti paměti, ve kterých jsou umístěny segmenty s daty jádra a modulů, je nastaven režim pouze pro čtení a je zakázáno provádění kódu. Volitelně je k dispozici možnost zakázat načítání modulů jádra po inicializaci systému. Pro filtrování síťových paketů je použit nástroj iptables. Během sestavení jsou ve výchozím nastavení povoleny ochranné režimy proti přetečení zásobníku, přetečení bufferu a problémům s formátováním řetězců (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro).
Pro správu služeb a startování se používá systémový správce systemd. Pro správu balíčků jsou dodávány správce balíčků RPM a DNF (varianta tdnf od vmWare). SSH server není ve výchozím nastavení povolen. Pro instalaci distribuce je k dispozici instalátor, který může fungovat jak v textovém, tak grafickém režimu. V instalátoru je možnost instalace s plným nebo základním balíčkem, je zde rozhraní pro výběr diskové oblasti, pojmenování hostitele a vytvoření uživatelů.
Zdroj: opennet.ru
