Je k dispozici vydání Linuxové distribuce Bottlerocket 1.1.0, vyvinuté ve spolupráci s firmou Amazon pro efektivní a bezpečné spouštění izolovaných kontejnerů. Nástroje a řídicí komponenty distribuce jsou napsány v jazyce Rust a distribuovány pod licencemi MIT a Apache 2.0. Podporováno je spuštění Bottlerocket v clusterech Amazon ECS a AWS EKS Kubernetes, jakož i vytváření libovolných sestavení a edic, umožňujících použití různých nástrojů pro orkestraci a runtime pro kontejnery.
Distribuce poskytuje atomické a automaticky aktualizované nedělitelné systémové obrazce, které zahrnují jádro Linux a minimální systémové prostředí, obsahující pouze komponenty nezbytné pro spuštění kontejnerů. V prostředí jsou zapojeny systémový správce systemd, knihovna Glibc, sestavovací nástroj Buildroot, zaváděcí program GRUB, konfigurační nástroj sítě wicked, runtime pro izolované kontejnery containerd, platforma pro orchestrace kontejnerů Kubernetes, autentifikátor aws-iam-authenticator a agent Amazon ECS.
Nástroje pro orchestrace kontejnerů jsou dodány v samostatném řídicím kontejneru, který je zapnut ve výchozím nastavení a spravován přes API a AWS SSM Agent. V základním obrazu není přítomna příkazová řádka, server SSH a interpretované jazyky (například chybí Python nebo Perl) — prostředky pro administrátora a ladící nástroje byly přesunuty do samostatného služebního kontejneru, který je ve výchozím nastavení zakázán.
Klíčovým rozdílem od podobných distribucí, jako jsou Fedora CoreOS, CentOS/Red Hat Atomic Host, je primární zaměření na poskytování maximální bezpečnosti v kontextu posílení ochrany systému před možnými hrozbami, ztížením využití zranitelností v komponentách OS a zvýšením izolace kontejnerů. Kontejnery jsou vytvářeny pomocí vestavěných mechanismů jádra Linux — cgroups, prostor názvů a seccomp. Pro další izolaci je v distribuci aplikován SELinux v režimu „enforcing“.
Kořenový oddíl je namontován v režimu pouze pro čtení a oddíl se soubory nastavení /etc je namontován v tmpfs a po restartu se obnoví do původního stavu. Přímé úpravy souborů v adresáři /etc, jako jsou /etc/resolv.conf a /etc/containerd/config.toml, nejsou podporovány — pro trvalé uchování nastavení je třeba použít API nebo přesunout funkčnost do samostatných kontejnerů. Pro kryptografickou verifikaci integrity kořenového oddílu je zapojen modul dm-verity a v případě zjištění pokusu o modifikaci dat na úrovni blokového zařízení se systém restartuje.
Většina systémových komponentů je napsána v jazyce Rust, který poskytuje prostředky pro bezpečné zacházení s pamětí, což umožňuje vyhnout se zranitelnostem způsobeným přístupem do paměti po jejím uvolnění, dereferencováním nulových ukazatelů a přetečením zásobníku. Při sestavení se standardně používají režimy kompilace „—enable-default-pie“ a „—enable-default-ssp“ pro aktivaci randomizace adresního prostoru spustitelných souborů (PIE) a ochrany proti přetečení zásobníku s použitím kanárkových značek. Pro balíčky napsané v jazyce C/C++ se navíc zapínají příznaky „-Wall“, „-Werror=format-security“, „-Wp,-D_FORTIFY_SOURCE=2“, „-Wp,-D_GLIBCXX_ASSERTIONS“ a „-fstack-clash-protection“.
V novém vydání:
- Byly navrženy dvě nové varianty distribuce aws-k8s-1.20 a vmware-k8s-1.20 s podporou Kubernetes 1.20. V těchto variantách, stejně jako v aktualizované variantě aws-ecs-1, byl nasazen nový vydání jádra Linux 5.10. Režim lockdown byl ve výchozím nastavení změněn na hodnotu 'integrity' (blokovány možnosti, které umožňují provádět změny běžícího jádra z prostoru uživatele). Podpora varianty aws-k8s-1.15 založené na Kubernetes 1.15 byla ukončena.
- Pro Amazon ECS byla implementována podpora síťového režimu awsvpc, který umožňuje vyčlenění samostatných síťových rozhraní a interních IP adres pro každou úlohu.
- Byly přidány nastavení pro řízení různých parametrů Kubernetes, včetně QPS, limitů na pooly a možnosti připojení k cloudovým poskytovatelům mimo AWS.
- V bootstrap kontejneru bylo zajištěno omezení přístupu k uživatelským datům pomocí SELinux.
- Byla přidána utilita resize2fs.
Zdroj: opennet.ru
