Udgivelsen af Linux-distributionen Bottlerocket 1.7.0 er offentliggjort, udviklet i samarbejde med Amazon for effektiv og sikker opstart af isolerede containere. Værktøjerne og de styrende komponenter i distributionen er skrevet i Rust og distribueres under MIT- og Apache 2.0-licenserne. Bottlerocket understøtter kørsel i Amazon ECS-klynger, VMware og AWS EKS Kubernetes samt oprettelse af tilpassede builds og udgaver, der tillader brug af forskellige orkestreringsværktøjer og runtime til containere.
Distributionen tilbyder et atomart og automatisk opdateret udeleligt systembillede, der inkluderer Linux-kernen og et minimalt systemmiljø med kun de komponenter, der er nødvendige for at køre containere. I miljøet anvendes systemmanageren systemd, biblioteket Glibc, byggesættet Buildroot, bootloaderen GRUB, netværkskonfiguratoren wicked, runtime til isolerede containere containerd, orkestreringsplatformen Kubernetes, autentifikatoren aws-iam-authenticator og Amazon ECS-agenten.
Værktøjerne til orkestrering af containere leveres i en separat styringscontainer, som aktiveres som standard og styres via API og AWS SSM Agent. Den grundlæggende billede mangler en kommandolinjeinterpreter, server SSH og fortolkede sprog (f.eks. ingen Python eller Perl) — værktøjer til administratorer og debug-værktøjer er placeret i en separat servicecontainer, der er deaktiveret som standard.
Den væsentligste forskel fra lignende distributioner som Fedora CoreOS, CentOS/Red Hat Atomic Host er den primære fokus på at sikre maksimal sikkerhed i forhold til at styrke beskyttelsen af systemet mod potentielle trusler, vanskeliggøre udnyttelsen af sårbarheder i OS-komponenter samt øge isoleringen af containere. Containerne oprettes ved hjælp af de indbyggede mekanismer i Linux-kernen — cgroups, navnerum og seccomp. Der anvendes SELinux i "enforcing"-tilstand for yderligere isolering i distributionen.
Roddivisionen monteres i skrivebeskyttet tilstand, mens konfigurationspartitionen /etc monteres i tmpfs og gendanner den oprindelige tilstand efter genstart. Direkte ændring af filer i kataloget /etc, såsom /etc/resolv.conf og /etc/containerd/config.toml, understøttes ikke — for permanent gemning af indstillinger skal API bruges, eller funktionalitet flyttes til separate containere. For kryptografisk verifikation af integriteten af rodpartitionen anvendes dm-verity modulet, og ved opdagelse af forsøg på ændring af data på blokniveau genstarter systemet.
De fleste systemkomponenter er skrevet i Rust, som tilbyder sikre hukommelseshåndteringsværktøjer, der forhindrer sårbarheder forårsaget af adgang til hukommelsesområder efter de er frigivet, dereferering af nul-pegepinde og buffer overflow. Som standard anvendes kompileringstilstandene "--enable-default-pie" og "--enable-default-ssp" for at aktivere randomisering af adresseområdet for eksekverbare filer (PIE) og beskyttelse mod stack overflow via implementering af kanarimærker. For pakker skrevet i C/C++ aktiveres derudover flags "-Wall", "-Werror=format-security", "-Wp,-D_FORTIFY_SOURCE=2", "-Wp,-D_GLIBCXX_ASSERTIONS" og "-fstack-clash-protection".
I den nye version:
- Ved installation af RPM-pakker genereres der en liste over programmer i JSON-format og monteres i host-containeren som fil /var/lib/bottlerocket/inventory/application.json for at få information om tilgængelige pakker.
- Containerne 'admin' og 'control' er blevet opdateret.
- Versionerne af pakker og afhængigheder for sprog som Go og Rust er blevet opdateret.
- Versionerne af pakker med tredjepartsprogrammer er blevet opdateret.
- Problemerne med konfigurationen af tmpfilesd for kmod-5.10-nvidia er blevet løst.
- Ved installation af tuftool er afhængighedsversioner blevet bundet.
Kilde: opennet.ru
