{"id":100944,"date":"2021-08-08T16:22:42","date_gmt":"2021-08-08T14:22:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-bottlerocket-1-2-distributiva-na-baze-izolirovannyh-kontejnerov"},"modified":"2021-08-08T16:22:42","modified_gmt":"2021-08-08T14:22:42","slug":"vypusk-bottlerocket-1-2-distributiva-na-baze-izolirovannyh-kontejnerov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/vypusk-bottlerocket-1-2-distributiva-na-baze-izolirovannyh-kontejnerov","title":{"rendered":"Udgivelse af Bottlerocket 1.2, en distribution baseret p\u00e5 isolerede containere","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Udgivelsen af Linux-distributionen Bottlerocket 1.2.0 er nu tilg\u00e6ngelig, udviklet med deltagelse af Amazon for effektiv og sikker k\u00f8rsel af isolerede containere. V\u00e6rkt\u00f8jer og styringskomponenter i distributionen er skrevet i Rust og distribueres under MIT og Apache 2.0 licenser. Bottlerocket underst\u00f8ttes i Amazon ECS, VMware og AWS EKS Kubernetes-klynger, samt ved oprettelse af brugerdefinerede builds og redigeringer, der tillader brug af forskellige orkestreringsv\u00e6rkt\u00f8jer og runtime til containere. <\/p>\n

Distributionen tilbyder et atomart og automatisk opdateret udeleligt systembillede, der inkluderer Linux-kernen og et minimalt systemmilj\u00f8 med kun de komponenter, der er n\u00f8dvendige for at k\u00f8re containere. I milj\u00f8et anvendes systemmanageren systemd, biblioteket Glibc, bygges\u00e6ttet Buildroot, bootloaderen GRUB, netv\u00e6rkskonfiguratoren wicked, runtime til isolerede containere containerd, orkestreringsplatformen Kubernetes, autentifikatoren aws-iam-authenticator og Amazon ECS-agenten. <\/p>\n

V\u00e6rkt\u00f8jerne til orkestrering af containere leveres i en separat styringscontainer, som aktiveres som standard og styres via API og AWS SSM Agent. Den grundl\u00e6ggende billede mangler en kommandolinjeinterpreter, server<\/a> SSH og fortolkede sprog (f.eks. uden Python eller Perl) \u2014 v\u00e6rkt\u00f8jer til administratorer og fejlfinding er flyttet til en separat servicecontainer, som som standard er deaktiveret. <\/p>\n

En n\u00f8gleforskel fra lignende distributioner som Fedora CoreOS og CentOS\/Red Hat Atomic Host er den prim\u00e6re fokus p\u00e5 at give maksimal sikkerhed med hensyn til at styrke systembeskyttelsen mod potentielle trusler, vanskeligg\u00f8re udnyttelse af s\u00e5rbarheder i operativsystemkomponenter og \u00f8ge isolationen af containere. Containere oprettes ved hj\u00e6lp af de indbyggede mekanismer i Linux-kernen \u2014 cgroups, navnerum og seccomp. For yderligere isolation anvendes SELinux i \u2019enforcing\u2019 tilstand i distributionen. <\/p>\n

Rodpartitionen monteres i skrivebeskyttet tilstand, mens konfigurationspartitionen \/etc monteres i tmpfs og gendanner den oprindelige tilstand efter genstart. Direkte \u00e6ndringer af filer i kataloget \/etc, s\u00e5som \/etc\/resolv.conf og \/etc\/containerd\/config.toml, underst\u00f8ttes ikke \u2014 for at gemme indstillinger permanent skal API'en anvendes, eller funktionaliteten skal placeres i separate containere. For kryptografisk verifikation af integriteten af rodpartitionen anvendes modulet dm-verity, og i tilf\u00e6lde af fors\u00f8g p\u00e5 at \u00e6ndre data p\u00e5 blokniveau genstarter systemet. <\/p>\n

De fleste systemkomponenter er skrevet i Rust, som giver v\u00e6rkt\u00f8jer til sikker h\u00e5ndtering af hukommelse og undg\u00e5r s\u00e5rbarheder for\u00e5rsaget af adgang til hukommelsesomr\u00e5der efter frigivelse, dereferering af nulpeger og overskridelse af buffergr\u00e6nser. Ved standardkompilering anvendes kompilationsindstillingerne \u2019--enable-default-pie\u2019 og \u2019--enable-default-ssp\u2019 for at aktivere randomisering af adresseomr\u00e5det for eksekverbare filer (PIE) og beskyttelse mod stakoverskridelse gennem inds\u00e6ttelse af canary-v\u00e6rdier. For pakker skrevet i C\/C++ tilf\u00f8jes desuden flagene \u2019-Wall\u2019, \u2019-Werror=format-security\u2019, \u2019-Wp,-D_FORTIFY_SOURCE=2\u2019, \u2019-Wp,-D_GLIBCXX_ASSERTIONS\u2019 og \u2019-fstack-clash-protection\u2019. <\/p>\n

I den nye version: <\/p>\n