Společnost Microsoft zveřejnila měsíční aktualizaci distribuce Azure Linux 3.0.20260506. Tato distribuce se vyvíjí jako univerzální základní platforma pro Linuxová prostředí používaná v cloudové infrastruktuře, edge systémech a různých službách Microsoftu. Vlastní vývoj projektu je šířen pod licencí MIT. Sestavy balíčků jsou vytvářeny pro architektury aarch64 a x86_64. Velikost instalačního obrazu je 770 MB.
Mezi změnami v nové verzi:
- Do repozitáře (SPECS a SPECS-EXTENDED) byly přidány balíčky ignition a rust-afterburn.
- Balíček s analýzátorem sítě Wireshark byl přepracován s podporou jazyka Lua.
- Při sestavení balíčku jádra pro architekturu arm64 byla zahrnuta možnost CONFIG_IKCONFIG_PROC, která umožňuje přístup k sestavovací konfiguraci aktuálního jádra prostřednictvím souboru /proc/config.gz.
- Byla vylepšena podpora live migrace v QEMU.
- Do souboru PackageBuild.yml byl přidán parametr extraMacrosFiles pro předání dalších souborů s makry během sestavení balíčku.
- Bylo odstraněno několik desítek zranitelností v různých balíčcích.
- Aktualizovány verze jádra Linux 6.6.137.1, clamav 1.5.2, cloud-hypervisor 51.1.56, containerd2 2.1.6, cups 2.4.18, erlang 26.2.5.20, golang 1.26.2-1, libpng 1.6.57, mysql 8.0.46.
Distribuce Azure Linux poskytuje malý standardní balíček základních balíčků, které slouží jako univerzální základ pro vytváření obsahu kontejnerů, hostitelských prostředí a služeb běžících v cloudových infrastrukturách a na edge zařízeních. Složitější a specializovanější řešení mohou být vytvářena přidáním dalších balíčků na vrchol Azure Linux, ale základ pro všechny tyto systémy zůstává nezměněn, což usnadňuje údržbu a přípravu aktualizací.
Azure Linux je používán jako základ mini-distribuce WSLg, ve které jsou poskytovány komponenty grafického stacku pro organizaci spuštění aplikací GUI Linux v prostředích založených na subsystému WSL2 (Windows Subsystem for Linux). Rozšířená funkcionalita v WSLg je realizována prostřednictvím zahrnutí dalších balíčků s kompozitním serverem Weston, XWayland, PulseAudio a FreeRDP.
Pro správu služeb a zatížení se používá systémový správce systemd. Pro správu balíčků jsou dodávány balíčkové správce RPM a DNF. SSH server není při instalaci ve výchozím nastavení zapnut. Pro instalaci distribuce je k dispozici instalátor, který může fungovat jak v textovém, tak v grafickém režimu. Instalátor poskytuje možnost instalace s plným nebo základním souborem balíčků, nabízí rozhraní pro výběr diskové partition, volbu názvu hostitele a vytváření uživatelů.
Systém sestavení Azure Linux umožňuje generovat jak jednotlivé RPM balíčky na základě SPEC souborů a zdrojových textů, tak monolitické systémové obrazy, které se vytvářejí pomocí nástrojů rpm-ostree a aktualizují se atomicky bez rozdělení na jednotlivé balíčky. Podporovány jsou tedy dva modely dodávání aktualizací: prostřednictvím aktualizace jednotlivých balíčků a prostřednictvím přestavby a aktualizace celého systémového obrazu. K dispozici je repozitář obsahující přibližně 3000 již zkompilovaných RPM balíčků, který lze použít k sestavení vlastních obrazů na základě konfiguračního souboru.
Základní platforma obsahuje pouze nezbytné komponenty a je optimalizována pro minimální spotřebu paměti a diskového prostoru, stejně jako pro vysokou rychlost spuštění. V projektu je aplikován přístup "maximální bezpečnost ve výchozím nastavení", který zahrnuje zapnutí různých dodatečných mechanismů pro zvýšení ochrany:
- Filtrování systémových volání pomocí mechanismu seccomp.
- Šifrování diskových partition.
- Ověřování balíčků pomocí digitálního podpisu.
- Randomizace adresního prostoru.
- Ochrana proti útokům týkajícím se symbolických odkazů, mmap, /dev/mem a /dev/kmem.
- Režim pouze pro čtení a zákaz spuštění kódu v oblastech paměti, kde jsou umístěny segmenty s daty jádra a modulů.
- Možnost zakázat načítání jádrových modulů po inicializaci systému.
- Použití iptables k filtrování síťových paketů.
- Zahrnutí při sestavování režimů ochrany proti přetečení zásobníku, přetečení bufferu a problémům s formátováním řetězců (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro).
Zdroj: opennet.ru
