Microsoft har offentliggjort den første stabile opdatering af den nye version af Azure Linux 3.0, som tidligere blev distribueret under navnet CBL-Mariner. Distributionen udvikles som en universel basisplatform for Linux-miljøer, der bruges i cloud-infrastruktur, edge-systemer og forskellige Microsoft-tjenester. Projektet har til formål at standardisere de Linux-løsninger, der anvendes i Microsoft, og gøre det lettere at holde Linux-systemer af forskellig art opdaterede. Projektets resultater distribueres under MIT-licensen. Pakkerne bygges til arkitekturerne aarch64 og x86_64. Størrelsen af installationsbilledet er 740 MB.
Blandt ændringerne i den nye version:
- Linux-kernen er opdateret til version 6.6 (tidligere brugt kerne 5.15). Der er tilføjet support for live patching, som gør det muligt at rette sårbarheder i kernen uden genstart.
- Nye versioner af pakkerne er blevet foreslået, herunder systemd 255, glibc 2.38, GCC 13.2, clang 18.1, OpenSSL 3.3, rpm 4.18.2, ruby 3.3.0, BIND 9.20, containerd 1.7.13, kunc 1.1.12, ostree 2024.5, rust 1.75, Perl 5.38, Python 3.12.3 og QEMU 8.2.0.
- SELinux-adgangskontrolsystemet er som standard sat til "enforcing"-tilstand.
- Den samlede cgroups v2-hierarki er som standard aktiveret. Den vigtigste forskel mellem cgroups v2 og v1 er anvendelsen af en fælles cgroups-hierarki til alle typer ressourcer i stedet for separate hierarkier til fordeling af CPU-ressourcer, regulering af hukommelsesforbrug og input/output.
- Der er tilføjet værktøjer til at erstatte andre distributioner (OSsku In-Place Migration) på noder i Microsoft Azure-cloud, f.eks. kan en installeret Ubuntu erstattes med Azure Linux.
- Der er tilføjet support for nye NVIDIA GPU'er som NVIDIA A100 og H100, samt givet NVIDIA GPU Operator til automatisering af håndtering af NVIDIA-drivere på noder med Azure Linux.
Azure Linux-distributionen tilbyder et lille standard sæt af grundpakker, der fungerer som en universel base til opbygning af containerindhold, host-miljøer og tjenester, der kører i cloud-infrastrukturer og på edge-enheder. Mere komplekse og specialiserede løsninger kan laves ved at tilføje ekstra pakker oven på Azure Linux, men basen for alle sådanne systemer forbliver uændret, hvilket gør vedligeholdelse og forberedelse af opdateringer lettere.
For eksempel anvendes Azure Linux som grundlaget for den mini-distribution, der hedder WSLg, hvor grafiske komponenter til at køre GUI-applikationer i Linux-miljøer baseret på WSL2 (Windows Subsystem for Linux) tilbydes. Den udvidede funktionalitet i WSLg implementeres gennem inclusion af yderligere pakker med kompositte. serveren Weston, XWayland, PulseAudio og FreeRDP.
Systemd bruges til at administrere tjenester og belastning. Pakkehåndterere RPM og DNF leveres til pakkehåndtering. SSH-serveren er ikke aktiveret som standard. Installationsprogrammet til distributionen tilbydes, som kan køre i både tekst- og grafiske tilstande. Installationsprogrammet giver mulighed for installation med et fuldt eller grundlæggende sæt pakker, tilbyder en grænseflade til at vælge diskpartition, vælge værtsnavn og oprette brugere.
Build-systemet i Azure Linux gør det muligt at generere både separate RPM-pakker baseret på SPEC-filer og kildekoder, samt monolitiske systembilleder, der dannes ved hjælp af rpm-ostree værktøjerne og opdateres atomisk uden opdeling i separate pakker. Følgelig understøttes der to modeller for opdateringslevering: gennem opdatering af individuelle pakker og gennem opbygning og opdatering af hele systembilledet. Der er et repository tilgængeligt, der inkluderer omkring 3000 allerede byggete RPM-pakker, som kan bruges til at sammensætte egne billeder baseret på konfigurationsfilen.
Den grundlæggende platform inkluderer kun de mest nødvendige komponenter og er optimeret til minimal hukommelses- og diskforbrug samt for høj opstartshastighed. I projektet anvendes tilgangen 'maksimal sikkerhed som standard', hvilket indebærer, at der er inkluderet forskellige ekstra mekanismer til at forbedre beskyttelsen:
- Filtrering af systemopkald ved hjælp af seccomp-mekanismen.
- Kryptering af diskpartitioner.
- Verifikation af pakker via digital signatur.
- Randomisering af adresserummet.
- Beskyttelse mod angreb relateret til symbolske links, mmap, /dev/mem og /dev/kmem.
- Tilstand kun for læsning og forbud mod udførelse af kode i områder af hukommelsen, hvor kerne- og moduldata placeret.
- Mulighed for at forbyde indlæsning af kerne-moduler efter systeminitialisering.
- Brug af iptables til filtrering af netværkspakker.
- Inkludering under opbygning af beskyttelsesmetoder mod stakoverløb, bufferoverflow og format-strengproblemer (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro).
Kilde: opennet.ru
