Byl zveřejněn vydání Linuxového distribuce Bottlerocket 1.3.0, vyvíjeného ve spolupráci s firmou Amazon pro efektivní a bezpečné spouštění izolovaných kontejnerů. Nástroje a spravovací komponenty distribuce jsou napsány v jazyce Rust a distribuovány pod licencemi MIT a Apache 2.0. Podporuje se spuštění Bottlerocket v clusterech Amazon ECS, VMware a AWS EKS Kubernetes, jakož i vytváření libovolných sestavení a edic, které umožňují použití různých nástrojů orchestraci a runtime pro kontejnery.
Distribuce poskytuje atomické a automaticky aktualizované nedělitelné systémové obrazce, které zahrnují jádro Linux a minimální systémové prostředí, obsahující pouze komponenty nezbytné pro spuštění kontejnerů. V prostředí jsou zapojeny systémový správce systemd, knihovna Glibc, sestavovací nástroj Buildroot, zaváděcí program GRUB, konfigurační nástroj sítě wicked, runtime pro izolované kontejnery containerd, platforma pro orchestrace kontejnerů Kubernetes, autentifikátor aws-iam-authenticator a agent Amazon ECS.
Nástroje pro orchestrace kontejnerů jsou dodány v samostatném řídicím kontejneru, který je zapnut ve výchozím nastavení a spravován přes API a AWS SSM Agent. V základním obrazu není přítomna příkazová řádka, server SSH a interpretované jazyky (například chybí Python nebo Perl) — prostředky pro administrátora a ladící nástroje byly přesunuty do samostatného služebního kontejneru, který je ve výchozím nastavení zakázán.
Klíčovým rozdílem od podobných distribucí, jako jsou Fedora CoreOS, CentOS/Red Hat Atomic Host, je primární zaměření na poskytování maximální bezpečnosti v kontextu posílení ochrany systému před možnými hrozbami, ztížením využití zranitelností v komponentách OS a zvýšením izolace kontejnerů. Kontejnery jsou vytvářeny pomocí vestavěných mechanismů jádra Linux — cgroups, prostor názvů a seccomp. Pro další izolaci je v distribuci aplikován SELinux v režimu „enforcing“.
Kořenový oddíl je namontován v režimu pouze pro čtení a oddíl se soubory nastavení /etc je namontován v tmpfs a po restartu se obnoví do původního stavu. Přímé úpravy souborů v adresáři /etc, jako jsou /etc/resolv.conf a /etc/containerd/config.toml, nejsou podporovány — pro trvalé uchování nastavení je třeba použít API nebo přesunout funkčnost do samostatných kontejnerů. Pro kryptografickou verifikaci integrity kořenového oddílu je zapojen modul dm-verity a v případě zjištění pokusu o modifikaci dat na úrovni blokového zařízení se systém restartuje.
Většina systémových komponentů je napsána v jazyce Rust, který poskytuje prostředky pro bezpečné zacházení s pamětí, což umožňuje vyhnout se zranitelnostem způsobeným přístupem do paměti po jejím uvolnění, dereferencováním nulových ukazatelů a přetečením zásobníku. Při sestavení se standardně používají režimy kompilace „—enable-default-pie“ a „—enable-default-ssp“ pro aktivaci randomizace adresního prostoru spustitelných souborů (PIE) a ochrany proti přetečení zásobníku s použitím kanárkových značek. Pro balíčky napsané v jazyce C/C++ se navíc zapínají příznaky „-Wall“, „-Werror=format-security“, „-Wp,-D_FORTIFY_SOURCE=2“, „-Wp,-D_GLIBCXX_ASSERTIONS“ a „-fstack-clash-protection“.
V novém vydání:
- Byly odstraněny zranitelnosti v nástrojích docker a runtime containerd (CVE-2021-41089, CVE-2021-41091, CVE-2021-41092, CVE-2021-41103), spojené s nesprávným nastavením přístupových práv, což umožnilo nepovolaným uživatelům vyjít za hranice základního adresáře a spouštět externí programy.
- Byla přidána nová funkce do kubelet a pluto. podpora IPv6.
- Byla poskytnuta možnost restartovat kontejner po změně jeho nastavení.
- Do balíčku eni-max-pods byla přidána podpora instancí Amazon EC2 M6i.
- Do open-vm-tools byla přidána podpora filtrů zařízení, realizovaná na základě nástrojů Cilium.
- Pro platformu x86_64 byl realizován hybridní režim zavádění (s podporou EFI a BIOS).
- Byly aktualizovány verze balíčků a závislosti pro jazyk Rust.
- Podpora varianty distribuce aws-k8s-1.17 na bázi Kubernetes 1.17 byla ukončena. Doporučuje se používat variantu aws-k8s-1.21 s podporou Kubernetes 1.21. V variantách k8s jsou použity konfigurace cgroup runtime.slice a system.slice.
Zdroj: opennet.ru
