Udgivelsen af Linux-distributionen Bottlerocket 1.2.0 er nu tilgængelig, udviklet med deltagelse af Amazon for effektiv og sikker kørsel af isolerede containere. Værktøjer og styringskomponenter i distributionen er skrevet i Rust og distribueres under MIT og Apache 2.0 licenser. Bottlerocket understøttes i Amazon ECS, VMware og AWS EKS Kubernetes-klynger, samt ved oprettelse af brugerdefinerede builds og redigeringer, der tillader brug af forskellige orkestreringsværktøjer og runtime til containere.
Distributionen tilbyder et atomart og automatisk opdateret udeleligt systembillede, der inkluderer Linux-kernen og et minimalt systemmiljø med kun de komponenter, der er nødvendige for at køre containere. I miljøet anvendes systemmanageren systemd, biblioteket Glibc, byggesættet Buildroot, bootloaderen GRUB, netværkskonfiguratoren wicked, runtime til isolerede containere containerd, orkestreringsplatformen Kubernetes, autentifikatoren aws-iam-authenticator og Amazon ECS-agenten.
Værktøjerne til orkestrering af containere leveres i en separat styringscontainer, som aktiveres som standard og styres via API og AWS SSM Agent. Den grundlæggende billede mangler en kommandolinjeinterpreter, server SSH og fortolkede sprog (f.eks. ingen Python eller Perl) — værktøjer til administratorer og debug-værktøjer er placeret i en separat servicecontainer, der er deaktiveret som standard.
Den væsentligste forskel fra lignende distributioner som Fedora CoreOS, CentOS/Red Hat Atomic Host er den primære fokus på at sikre maksimal sikkerhed i forhold til at styrke beskyttelsen af systemet mod potentielle trusler, vanskeliggøre udnyttelsen af sårbarheder i OS-komponenter samt øge isoleringen af containere. Containerne oprettes ved hjælp af de indbyggede mekanismer i Linux-kernen — cgroups, navnerum og seccomp. Der anvendes SELinux i "enforcing"-tilstand for yderligere isolering i distributionen.
Roddivisionen monteres i skrivebeskyttet tilstand, mens konfigurationspartitionen /etc monteres i tmpfs og gendanner den oprindelige tilstand efter genstart. Direkte ændring af filer i kataloget /etc, såsom /etc/resolv.conf og /etc/containerd/config.toml, understøttes ikke — for permanent gemning af indstillinger skal API bruges, eller funktionalitet flyttes til separate containere. For kryptografisk verifikation af integriteten af rodpartitionen anvendes dm-verity modulet, og ved opdagelse af forsøg på ændring af data på blokniveau genstarter systemet.
De fleste systemkomponenter er skrevet i Rust, som tilbyder sikre hukommelseshåndteringsværktøjer, der forhindrer sårbarheder forårsaget af adgang til hukommelsesområder efter de er frigivet, dereferering af nul-pegepinde og buffer overflow. Som standard anvendes kompileringstilstandene "--enable-default-pie" og "--enable-default-ssp" for at aktivere randomisering af adresseområdet for eksekverbare filer (PIE) og beskyttelse mod stack overflow via implementering af kanarimærker. For pakker skrevet i C/C++ aktiveres derudover flags "-Wall", "-Werror=format-security", "-Wp,-D_FORTIFY_SOURCE=2", "-Wp,-D_GLIBCXX_ASSERTIONS" og "-fstack-clash-protection".
I den nye version:
- Tilføjet understøttelse af spejlvendte containerbilledregistreringsdatabaser.
- Tilføjet mulighed for brug af selvsignerede certifikater.
- Tilføjet parameter til konfiguration af værtsnavn.
- Opdateret versionen af den foreslåede administrative container.
- Tilføjet indstillinger for topologyManagerPolicy og topologyManagerScope til kubelet.
- Tilføjet understøttelse af kernekomprimering ved hjælp af algoritmen zstd.
- Mulighed for opstart i VMware virtual machines i OVA-format (Open Virtualization Format).
- Opdateret variant af distributionen aws-k8s-1.21 med understøttelse af Kubernetes 1.21. Opbakning til aws-k8s-1.16 er ophævet.
- Pakker og afhængigheder for Rust-sprog er blevet opdateret.
Kilde: opennet.ru
