Společnost Microsoft vydala distribuci CBL-Mariner 1.0 (Common Base Linux Mariner), která je označena jako prvotní stabilní verze projektu. Distribuce CBL-Mariner se vyvíjí jako univerzální základní platforma pro linuxová prostředí používaná v cloudové infrastruktuře, edge systémech a různých službách Microsoftu. Projekt si klade za cíl sjednotit aplikované linuxové řešení v Microsoftu a usnadnit udržení linuxových systémů různých účelů v aktuálním stavu. Vývoj projektu je distribuován pod licencí MIT.
Distribuce poskytuje malou typovou sadu základních balíků, které slouží jako univerzální základ pro vytváření obsahu kontejnerů, hostitelských prostředí a služeb provozovaných v cloudových infrastrukturách a na edge zařízeních. Složitější a specializovaná řešení mohou být vytvářena přidáním dalších balíků nad CBL-Mariner, ale základ pro všechny podobné systémy zůstává neměnný, což usnadňuje údržbu a přípravu aktualizací.
Například CBL-Mariner je používán jako základ mini distribuce WSLg, kde jsou poskytnuty komponenty grafického stacku pro zajištění spuštění GUI aplikací Linux v prostředích založených na subsystému WSL2 (Windows Subsystem for Linux). Základ této distribuce zůstává neměnný a rozšířená funkcionalita se realizuje prostřednictvím zahrnutí dalších balíků s kompozitním serverem Weston, XWayland, PulseAudio a FreeRDP.
Systém sestavení CBL-Mariner umožňuje generovat jak samostatné RPM balíky na základě SPEC souborů a zdrojových textů, tak monolitické systémové obrazy tvořené pomocí nástrojů rpm-ostree a aktualizované atomárně bez rozdělení na jednotlivé balíky. Odpovídajícím způsobem jsou podporovány dva modely dodávání aktualizací: prostřednictvím aktualizace jednotlivých balíků a prostřednictvím přestavění a aktualizace celého systémového obrazu. Distribuce zahrnuje pouze nejpotřebnější komponenty a je optimalizována pro minimální spotřebu paměti a diskového prostoru, stejně jako pro vysokou rychlost nabootování. Distribuce je také zajímavá zahrnutím různých dodatečných mechanismů pro zvýšení zabezpečení.
V projektu se používá přístup „maximální bezpečnost ve výchozím nastavení“. Je poskytována možnost filtrování systémových volání pomocí mechanismu seccomp, šifrování diskových oddílů, verifikace balíčků pomocí digitálního podpisu. Ve fázi sestavení jsou ve výchozím nastavení aktivovány režimy ochrany proti přetečení zásobníku, přetečení bufferu a problémům s formátováním řetězců (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro). Jsou aktivovány podporované režimy randomizace adresního prostoru v jádře Linuxu a také mechanismy ochrany proti útokům souvisejícím s symbolickými odkazy, mmap, /dev/mem a /dev/kmem. Pro oblasti paměti, ve kterých jsou umístěny segmenty s daty jádra a modulů, je nastaven režim pouze pro čtení a je zakázáno vykonání kódu. Volitelně je k dispozici možnost zakázání načítání modulů jádra po inicializaci systému. Pro filtrování síťových paketů je využit nástroj iptables.
Готовые ISO-образы не предоставляются. Подразумевается, что пользователь может сам создать образ с необходимой начинкой (cборочные инструкции предоставлены для Ubuntu 18.04). Доступен репозиторий с уже собранными RPM-пакетами, который можно использовать для компоновки собственных образов на основе файла конфигурации. В репозитории предложено около 3300 пакетов. Например, для сборки полного iso-образа достаточно выполнить: git clone https://github.com/microsoft/CBL-Mariner.git cd CBL-Mariner/toolkit sudo make iso REBUILD_TOOLS=y REBUILD_PACKAGES=n CONFIG_FILE=./imageconfigs/full.json
Pro správu služeb a načítání se používá systémový správce systemd. Pro správu balíčků jsou k dispozici balíčkové manažery RPM a DNF (variant tdnf od vmWare). SSH server není ve výchozím nastavení zapnut. Pro instalaci distribuce je k dispozici instalátor, který může pracovat jak v textovém, tak v grafickém režimu. V instalátoru je možnost instalace s plným nebo základním sadou balíčků, nabízí uživatelské rozhrání pro výběr diskového oddílu, výběr názvu hostitele a vytváření uživatelů.
Zdroj: opennet.ru
