Udgivelsen af Linux-distributionen Bottlerocket 1.1.0, udviklet i samarbejde med Amazon til effektiv og sikker kørsel af isolerede containere, er nu tilgængelig. Værktøjerne og styringskomponenterne i distributionen er skrevet i Rust og distribueres under licenserne MIT og Apache 2.0. Bottlerocket understøtter kørsel i Amazon ECS og AWS EKS Kubernetes-klynger samt oprettelse af tilpassede builds og versioner, der tillader brug af forskellige orkestreringsværktøjer og runtime-miljøer for containere.
Distributionen tilbyder et atomart og automatisk opdateret udeleligt systembillede, der inkluderer Linux-kernen og et minimalt systemmiljø med kun de komponenter, der er nødvendige for at køre containere. I miljøet anvendes systemmanageren systemd, biblioteket Glibc, byggesættet Buildroot, bootloaderen GRUB, netværkskonfiguratoren wicked, runtime til isolerede containere containerd, orkestreringsplatformen Kubernetes, autentifikatoren aws-iam-authenticator og Amazon ECS-agenten.
Værktøjerne til orkestrering af containere leveres i en separat styringscontainer, som aktiveres som standard og styres via API og AWS SSM Agent. Den grundlæggende billede mangler en kommandolinjeinterpreter, server SSH og fortolkede sprog (f.eks. ingen Python eller Perl) — værktøjer til administratorer og debug-værktøjer er placeret i en separat servicecontainer, der er deaktiveret som standard.
Den væsentligste forskel fra lignende distributioner som Fedora CoreOS, CentOS/Red Hat Atomic Host er den primære fokus på at sikre maksimal sikkerhed i forhold til at styrke beskyttelsen af systemet mod potentielle trusler, vanskeliggøre udnyttelsen af sårbarheder i OS-komponenter samt øge isoleringen af containere. Containerne oprettes ved hjælp af de indbyggede mekanismer i Linux-kernen — cgroups, navnerum og seccomp. Der anvendes SELinux i "enforcing"-tilstand for yderligere isolering i distributionen.
Roddivisionen monteres i skrivebeskyttet tilstand, mens konfigurationspartitionen /etc monteres i tmpfs og gendanner den oprindelige tilstand efter genstart. Direkte ændring af filer i kataloget /etc, såsom /etc/resolv.conf og /etc/containerd/config.toml, understøttes ikke — for permanent gemning af indstillinger skal API bruges, eller funktionalitet flyttes til separate containere. For kryptografisk verifikation af integriteten af rodpartitionen anvendes dm-verity modulet, og ved opdagelse af forsøg på ændring af data på blokniveau genstarter systemet.
De fleste systemkomponenter er skrevet i Rust, som tilbyder sikre hukommelseshåndteringsværktøjer, der forhindrer sårbarheder forårsaget af adgang til hukommelsesområder efter de er frigivet, dereferering af nul-pegepinde og buffer overflow. Som standard anvendes kompileringstilstandene "--enable-default-pie" og "--enable-default-ssp" for at aktivere randomisering af adresseområdet for eksekverbare filer (PIE) og beskyttelse mod stack overflow via implementering af kanarimærker. For pakker skrevet i C/C++ aktiveres derudover flags "-Wall", "-Werror=format-security", "-Wp,-D_FORTIFY_SOURCE=2", "-Wp,-D_GLIBCXX_ASSERTIONS" og "-fstack-clash-protection".
I den nye version:
- To nye versioner af distributionen aws-k8s-1.20 og vmware-k8s-1.20 med støtte for Kubernetes 1.20 er blevet foreslået. I disse versioner samt i den opdaterede version aws-ecs-1 er der anvendt en ny kernel-udgivelse, Linux 5.10. Lockdown-tilstand er som standardændret til "integrity" (funktioner, der tillader ændringer i det kørende kernel fra brugerrum, er blokeret). Støtten til versionen aws-k8s-1.15 baseret på Kubernetes 1.15 er blevet ophævet.
- For Amazon ECS er der implementeret støtte til netværksmodus awsvpc, der tillader tildeling af separate netværksinterfacer og interne IP-adresser for hver opgave.
- Der er tilføjet indstillinger til styring af forskellige Kubernetes-parametre, herunder QPS, grænser for puljer og muligheden for at forbinde til cloud-udbydere, der ikke er AWS.
- Bootstrap-containeren sikrer begrænset adgang til brugerdata ved hjælp af SELinux.
- Et værktøj, resize2fs, er blevet tilføjet.
Kilde: opennet.ru
