Společnost Microsoft přejmenovala distribuci CBL-Mariner na Azure Linux. Dříve se název Azure Linux používal pro specializovanou verzi instalovanou v Azure Kubernetes Service (AKS), zatímco celková platforma pro vývoj distribucí se vyvíjela pod názvem CBL-Mariner (Common Base Linux Mariner). Před několika dny Microsoft přejmenoval repozitář CBL-Mariner na azurelinux, změnil názvy utilit a nahradil zmínku o CBL-Mariner v dokumentaci názvem Azure Linux. Poté byla vytvořena první verze platformy s novým názvem — Azure Linux 2.0.20240301, která odstranila nahromaděné chyby a zranitelnosti v aplikacích.
Projekt má za cíl unifikaci využívaných linuxových řešení v Microsoftu a zjednodušení údržby linuxových systémů různých účelů v aktuálním stavu. Mezi jiným se distribuce používá v cloudové infrastruktuře, edge systémech a různých službách Microsoftu. Výstupy projektu jsou distribuovány pod licencí MIT. Balíčky jsou vytvářeny pro architektury aarch64 a x86_64. Bootovací ISO obraz byl připraven (860 MB) pro architekturu x86_64.
Distribuce Azure Linux poskytuje malý standardní balíček základních balíčků, které slouží jako univerzální základ pro vytváření obsahu kontejnerů, hostitelských prostředí a služeb běžících v cloudových infrastrukturách a na edge zařízeních. Složitější a specializovanější řešení mohou být vytvářena přidáním dalších balíčků na vrchol Azure Linux, ale základ pro všechny tyto systémy zůstává nezměněn, což usnadňuje údržbu a přípravu aktualizací.
Například Azure Linux je základem mini-distribuce WSLg, v níž jsou poskytovány komponenty grafického stacku pro spuštění GUI aplikací Linuxu v prostředích na bázi Windows Subsystem for Linux (WSL2). Rozšířená funkčnost v WSLg je realizována prostřednictvím zahrnutí dalších balíčků s kompozitními. serverem Weston, XWayland, PulseAudio a FreeRDP.
Systém sestavení Azure Linux umožňuje generovat jak jednotlivé RPM balíčky na základě SPEC souborů a zdrojových textů, tak monolitické systémové obrazy, které se vytvářejí pomocí nástrojů rpm-ostree a aktualizují se atomicky bez rozdělení na jednotlivé balíčky. Podporovány jsou tedy dva modely dodávání aktualizací: prostřednictvím aktualizace jednotlivých balíčků a prostřednictvím přestavby a aktualizace celého systémového obrazu. K dispozici je repozitář obsahující přibližně 3000 již zkompilovaných RPM balíčků, který lze použít k sestavení vlastních obrazů na základě konfiguračního souboru.
Základní platforma obsahuje pouze nezbytné komponenty a je optimalizována pro minimální spotřebu paměti a diskového prostoru, stejně jako pro vysokou rychlost spuštění. V projektu je aplikován přístup "maximální bezpečnost ve výchozím nastavení", který zahrnuje zapnutí různých dodatečných mechanismů pro zvýšení ochrany:
- Filtrování systémových volání pomocí mechanismu seccomp.
- Šifrování diskových partition.
- Ověřování balíčků pomocí digitálního podpisu.
- Randomizace adresního prostoru.
- Ochrana proti útokům týkajícím se symbolických odkazů, mmap, /dev/mem a /dev/kmem.
- Režim pouze pro čtení a zákaz spuštění kódu v oblastech paměti, kde jsou umístěny segmenty s daty jádra a modulů.
- Možnost zakázat načítání jádrových modulů po inicializaci systému.
- Použití iptables k filtrování síťových paketů.
- Zahrnutí při sestavování režimů ochrany proti přetečení zásobníku, přetečení bufferu a problémům s formátováním řetězců (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro).
Pro správu služeb a zatížení se používá systémový správce systemd. Pro správu balíčků jsou dodávány balíčkové správce RPM a DNF. SSH server není při instalaci ve výchozím nastavení zapnut. Pro instalaci distribuce je k dispozici instalátor, který může fungovat jak v textovém, tak v grafickém režimu. Instalátor poskytuje možnost instalace s plným nebo základním souborem balíčků, nabízí rozhraní pro výběr diskové partition, volbu názvu hostitele a vytváření uživatelů.
Kromě změn spojených s CBL-Mariner a Azure Linux, společnost Microsoft představila také novou verzi platformy Azure Sphere 24.03, založenou na jádře Linux a určenou k vytváření zařízení internetu věcí založených na energeticky efektivních mikrořadičích (MCU, microcontroller unit) s integrovanými periferními subsystémy. Jednou z vlastností platformy je subsystém Pluton, navržený k poskytování hardwarových prostředků pro šifrování, uchovávání tajných klíčů a provádění složitých kryptografických operací. Pluton obsahuje samostatný specializovaný procesor, kryptografický engine, hardwarový generátor náhodných čísel a izolované úložiště klíčů.
Zdroj: opennet.ru
