Společnost Microsoft vydala první stabilní aktualizaci nové větve distribuce Azure Linux 3.0, která byla dříve distribuována pod názvem CBL-Mariner. Distribuce se vyvíjí jako univerzální základní platforma pro linuxová prostředí používaná v cloudové infrastruktuře, edge systémech a různých službách Microsoftu. Projekt má za cíl unifikaci používaných linuxových řešení v Microsoftu a zjednodušení údržby linuxových systémů různých účelů. Výstupy projektu jsou šířeny pod licencí MIT. Sestavy balíčků jsou vytvářeny pro architektury aarch64 a x86_64. Velikost instalačního obrazu je 740 MB.
Mezi změnami v nové verzi:
- Jádro Linuxu bylo aktualizováno na verzi 6.6 (dříve bylo použito jádro 5.15). Byla přidána podpora pro aplikaci patchů na běžící jádro (live patching), která umožňuje odstraňovat zranitelnosti v jádře bez restartování.
- Byly navrženy nové verze balíčků, mezi nimiž jsou systemd 255, glibc 2.38, GCC 13.2, clang 18.1, OpenSSL 3.3, rpm 4.18.2, ruby 3.3.0, BIND 9.20, containerd 1.7.13, kunc 1.1.12, ostree 2024.5, rust 1.75, Perl 5.38, Python 3.12.3, QEMU 8.2.0.
- Systém povinného řízení přístupu SELinux byl ve výchozím nastavení přepnut do režimu „enforcing“.
- Ve výchozím nastavení je použita unifikovaná hierarchie cgroups v2. Klíčovým rozdílem cgroups v2 oproti v1 je aplikace společné hierarchie cgroups pro všechny typy zdrojů, místo oddělených hierarchií pro přidělování CPU, regulaci spotřeby paměti a pro vstup/výstup.
- Byly přidány nástroje pro migrování z jiných distribucí (OSsku In-Place Migration) na uzlech v cloudovém Microsoft Azure, například lze nahradit nainstalovaný Ubuntu za Azure Linux.
- Byla přidána podpora pro nové GPU NVIDIA, jako jsou NVIDIA A100 a H100, a také byl poskytnut NVIDIA GPU Operator pro automatizaci správy ovladačů NVIDIA na uzlech s Azure Linux.
Distribuce Azure Linux poskytuje malý standardní balíček základních balíčků, které slouží jako univerzální základ pro vytváření obsahu kontejnerů, hostitelských prostředí a služeb běžících v cloudových infrastrukturách a na edge zařízeních. Složitější a specializovanější řešení mohou být vytvářena přidáním dalších balíčků na vrchol Azure Linux, ale základ pro všechny tyto systémy zůstává nezměněn, což usnadňuje údržbu a přípravu aktualizací.
Například Azure Linux je základem mini-distribuce WSLg, v níž jsou poskytovány komponenty grafického stacku pro spuštění GUI aplikací Linuxu v prostředích na bázi Windows Subsystem for Linux (WSL2). Rozšířená funkčnost v WSLg je realizována prostřednictvím zahrnutí dalších balíčků s kompozitními. serverem Weston, XWayland, PulseAudio a FreeRDP.
Pro správu služeb a zatížení se používá systémový správce systemd. Pro správu balíčků jsou dodávány balíčkové správce RPM a DNF. SSH server není při instalaci ve výchozím nastavení zapnut. Pro instalaci distribuce je k dispozici instalátor, který může fungovat jak v textovém, tak v grafickém režimu. Instalátor poskytuje možnost instalace s plným nebo základním souborem balíčků, nabízí rozhraní pro výběr diskové partition, volbu názvu hostitele a vytváření uživatelů.
Systém sestavení Azure Linux umožňuje generovat jak jednotlivé RPM balíčky na základě SPEC souborů a zdrojových textů, tak monolitické systémové obrazy, které se vytvářejí pomocí nástrojů rpm-ostree a aktualizují se atomicky bez rozdělení na jednotlivé balíčky. Podporovány jsou tedy dva modely dodávání aktualizací: prostřednictvím aktualizace jednotlivých balíčků a prostřednictvím přestavby a aktualizace celého systémového obrazu. K dispozici je repozitář obsahující přibližně 3000 již zkompilovaných RPM balíčků, který lze použít k sestavení vlastních obrazů na základě konfiguračního souboru.
Základní platforma obsahuje pouze nezbytné komponenty a je optimalizována pro minimální spotřebu paměti a diskového prostoru, stejně jako pro vysokou rychlost spuštění. V projektu je aplikován přístup "maximální bezpečnost ve výchozím nastavení", který zahrnuje zapnutí různých dodatečných mechanismů pro zvýšení ochrany:
- Filtrování systémových volání pomocí mechanismu seccomp.
- Šifrování diskových partition.
- Ověřování balíčků pomocí digitálního podpisu.
- Randomizace adresního prostoru.
- Ochrana proti útokům týkajícím se symbolických odkazů, mmap, /dev/mem a /dev/kmem.
- Režim pouze pro čtení a zákaz spuštění kódu v oblastech paměti, kde jsou umístěny segmenty s daty jádra a modulů.
- Možnost zakázat načítání jádrových modulů po inicializaci systému.
- Použití iptables k filtrování síťových paketů.
- Zahrnutí při sestavování režimů ochrany proti přetečení zásobníku, přetečení bufferu a problémům s formátováním řetězců (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro).
Zdroj: opennet.ru
