Microsoft har offentliggjort en opdatering af Azure Linux distributionen 3.0.20241203. Distributionen udvikles som en universel basisplatform for Linux-miljøer, der anvendes i cloud-infrastruktur, edge-systemer og forskellige Microsoft-tjenester. Projektets egne arbejde distribueres under MIT-licensen. Pakkeopbygningerne er dannet til arkitekturerne aarch64 og x86_64. Størrelsen på installationsbilledet er 750 MB.
Blandt ændringerne i den nye version:
- Pakke-filteret iptables er blevet oversat til at håndtere kommandoer ved at oversætte regler til bytekode nftables (iptables-nft-pakken er som standard anvendt i stedet for iptables-legacy).
- For Aarch64-systemer tilbydes en yderligere pakke med kernen kernel-64k, som bruger store hukommelsessider på 64 KB (kernen er sammenstillet med CONFIG_ARM64_64K_PAGES optionen).
- I pakkehåndtereren tdnf (et dnf-alternativ baseret på C libs) er der tilføjet støtte til indstillingen ‘installonlypkgs’, som bruges til at organisere installationen af kernen kernel-64k.
- Når systemd-networkd anvendes, er behandlingen af livenet rootfs aktiveret fra Dracut.
- Der er tilføjet en driver til Intel Ethernet Connection E800 netværksadaptere.
- Fluent-bit loghandleren har fået tilføjet understøttelse for Lua-sproget.
- Der er aktiveret kontrol af digitale signaturer for kerner, der indlæses via kexec-mekanismen.
- Til bestemmelse af containeropbygninger anvendes værktøjet systemd-detect-virt i stedet for at kontrollere filen ‘/.dockerenv’.
- Versionerne af pakkene er blevet opdateret, herunder Linux-kernen 6.6.57, shim 15.8, SymCrypt 103.6.0, Valkey (Redis-fork) 8.0.1, Go 1.23.3, MariaDB 10.11.10, PostgreSQL 16.5.
Azure Linux-distributionen tilbyder et lille standard sæt af grundpakker, der fungerer som en universel base til opbygning af containerindhold, host-miljøer og tjenester, der kører i cloud-infrastrukturer og på edge-enheder. Mere komplekse og specialiserede løsninger kan laves ved at tilføje ekstra pakker oven på Azure Linux, men basen for alle sådanne systemer forbliver uændret, hvilket gør vedligeholdelse og forberedelse af opdateringer lettere.
Azure Linux anvendes som basis for mini-distributionen WSLg, som leverer komponenterne i grafikstakken til at køre GUI-applikationer i Linux-miljøer baseret på WSL2 (Windows Subsystem for Linux). Den udvidede funktionalitet i WSLg implementeres gennem tilføjelse af ekstra pakker med sammensatte serveren Weston, XWayland, PulseAudio og FreeRDP.
Systemd bruges til at administrere tjenester og belastning. Pakkehåndterere RPM og DNF leveres til pakkehåndtering. SSH-serveren er ikke aktiveret som standard. Installationsprogrammet til distributionen tilbydes, som kan køre i både tekst- og grafiske tilstande. Installationsprogrammet giver mulighed for installation med et fuldt eller grundlæggende sæt pakker, tilbyder en grænseflade til at vælge diskpartition, vælge værtsnavn og oprette brugere.
Build-systemet i Azure Linux gør det muligt at generere både separate RPM-pakker baseret på SPEC-filer og kildekoder, samt monolitiske systembilleder, der dannes ved hjælp af rpm-ostree værktøjerne og opdateres atomisk uden opdeling i separate pakker. Følgelig understøttes der to modeller for opdateringslevering: gennem opdatering af individuelle pakker og gennem opbygning og opdatering af hele systembilledet. Der er et repository tilgængeligt, der inkluderer omkring 3000 allerede byggete RPM-pakker, som kan bruges til at sammensætte egne billeder baseret på konfigurationsfilen.
Den grundlæggende platform inkluderer kun de mest nødvendige komponenter og er optimeret til minimal hukommelses- og diskforbrug samt for høj opstartshastighed. I projektet anvendes tilgangen 'maksimal sikkerhed som standard', hvilket indebærer, at der er inkluderet forskellige ekstra mekanismer til at forbedre beskyttelsen:
- Filtrering af systemopkald ved hjælp af seccomp-mekanismen.
- Kryptering af diskpartitioner.
- Verifikation af pakker via digital signatur.
- Randomisering af adresserummet.
- Beskyttelse mod angreb relateret til symbolske links, mmap, /dev/mem og /dev/kmem.
- Tilstand kun for læsning og forbud mod udførelse af kode i områder af hukommelsen, hvor kerne- og moduldata placeret.
- Mulighed for at forbyde indlæsning af kerne-moduler efter systeminitialisering.
- Brug af iptables til filtrering af netværkspakker.
- Inkludering under opbygning af beskyttelsesmetoder mod stakoverløb, bufferoverflow og format-strengproblemer (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro).
Kilde: opennet.ru
