{"id":94205,"date":"2020-09-13T19:42:49","date_gmt":"2020-09-13T17:42:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/vyshel-minimalistichnyj-linux-distributiv-bottlerocket-dlya-zapuska-kontejnerov-samoe-glavnoe-o-nyom"},"modified":"2020-09-13T19:42:49","modified_gmt":"2020-09-13T17:42:49","slug":"vyshel-minimalistichnyj-linux-distributiv-bottlerocket-dlya-zapuska-kontejnerov-samoe-glavnoe-o-nyom","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/vyshel-minimalistichnyj-linux-distributiv-bottlerocket-dlya-zapuska-kontejnerov-samoe-glavnoe-o-nyom","title":{"rendered":"En minimalistisk Linux-distribution Bottlerocket til containerk\u00f8rsel er blevet udgivet. Det vigtigste om den","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"En
\n
\nAmazon har annonceret<\/a><\/noindex> om den endelige udgivelse Bottlerocket<\/a><\/noindex> \u2014 en specialiseret distribution til k\u00f8rsel af containere og effektiv administration af dem.<\/p>\n

Bottlerocket (for \u00f8vrigt navnet p\u00e5 sm\u00e5 hjemmelavede raketter med sortkrudt) er ikke det f\u00f8rste OS til containere, men det er sandsynligt, at det vil f\u00e5 bred udbredelse p\u00e5 grund af standardintegration med AWS-tjenester. Selvom systemet er m\u00e5lrettet mod Amazon Cloud, g\u00f8r den \u00e5bne kildekode det muligt at bygge det hvor som helst: lokalt p\u00e5 serveren, p\u00e5 Raspberry Pi, i enhver konkurrerende cloud, og endda i et milj\u00f8 uden containere.<\/p>\n

Dette er en v\u00e6rdig erstatning for distributionen CoreOS, som Red Hat har nedlagt.
\n<\/a><\/noindex>
\nGenerelt har Amazon Web Services division allerede Amazon Linux, som for nylig er udgivet i version 2: en distributionsplatform til generelt brug, der kan k\u00f8res i Docker-containere eller med Linux KVM-, Microsoft Hyper-V- og VMware ESXi-hypervisorer. Den er optimeret til brug i AWS-cloud, men med lanceringen af Bottlerocket anbefales det, at alle opgraderer til det nye system, som er mere sikkert, moderne og kr\u00e6ver f\u00e6rre ressourcer.<\/p>\n

AWS annoncerede Bottlerocket i marts 2020<\/a><\/noindex>. De erkendte straks, at dette ikke er det f\u00f8rste \"Linux til containere\", og n\u00e6vnte som inspirationskilder CoreOS, Rancher OS og Project Atomic. Udviklerne skrev, at operativsystemet er \"resultatet af de lektioner, vi har l\u00e6rt fra mange \u00e5rs drift af produktionsservices i Amazon-st\u00f8rrelse og baseret p\u00e5 den erfaring, vi har haft i de seneste seks \u00e5r med at k\u00f8re containere.\"<\/p>\n

Ekstrem minimalisme<\/h1>\n

\nLinux er renset for alt, hvad der ikke er n\u00f8dvendigt for at k\u00f8re containere. Denne design, if\u00f8lge virksomheden, reducerer angrebsoverfladen.<\/p>\n

Det betyder, at der installeres f\u00e6rre pakker i basisystemet, hvilket forenkler vedligeholdelse og opdatering af OS, samt reducerer sandsynligheden for problemer p\u00e5 grund af afh\u00e6ngigheder, mindsker ressourceforbruget. Grundl\u00e6ggende set fungerer alt her i separate containere, og basisystemet er stort set bart.<\/p>\n

Amazon har ogs\u00e5 fjernet alle skaller og fortolkere for at eliminere risikoen for deres brug eller utilsigtet forh\u00f8jelse af privilegier for brugerne. I basisbilledet, for minimalismens og sikkerhedens skyld, er der ingen kommandoskaller, SSH-server eller fortolknings sprog som Python. V\u00e6rkt\u00f8jerne til administratoren er flyttet til en separat servicecontainer, som er deaktiveret som standard.<\/p>\n

Systemadministration er muligt p\u00e5 to m\u00e5der: gennem API og orkestrering.<\/p>\n

I stedet for en pakkeadministrator, der opdaterer dele af softwaren, downloader Bottlerocket et komplet billede af filsystemet og genstarter ind i det. I tilf\u00e6lde af opstartsfejl ruller den automatisk tilbage, og en arbejdsbelastningsfejl kan manuelt initieres til at rulle tilbage (kommando via API).<\/p>\n

Rammev\u00e6rk TUF<\/a><\/noindex> (The Update Framework) downloader opdateringer baseret p\u00e5 billeder til alternative eller \"afmonterede\" partitioner. Et system er tildelt to diskpartitioner, hvoraf den ene indeholder det aktive system, mens opdateringen kopieres til den anden. Herudover er rodpartitionen monteret i skrivebeskyttet tilstand, mens partitionen \/etc<\/code> er monteret med filsystemet i RAM tmpfs<\/a><\/noindex> og gendanner den oprindelige tilstand efter genstart. Direkte \u00e6ndringer af konfigurationsfiler i \/etc<\/code> underst\u00f8ttes ikke: For at gemme indstillinger skal API'en bruges eller funktionaliteten flyttes til separate containere.<\/p>\n

\"En
\nOpdateringsskema via API<\/i><\/p>\n

Sikkerhed<\/h1>\n

\nContainere oprettes af de indbyggede mekanismer i Linux-kernen \u2014 cgroups, navnerum og seccomp, og som en kontrol- adgangen til systemet, dvs. for ekstra isolation bruges SELinux<\/a><\/noindex> i tilstand "enforcing".<\/p>\n

Som standard er politikker aktiveret for at adskille ressourcer mellem containere og kernen. Bin\u00e6rfiler er beskyttet med flag, s\u00e5 brugere eller programmer ikke kan udf\u00f8re dem. Og hvis nogen f\u00e5r adgang til filsystemet, tilbyder Bottlerocket et v\u00e6rkt\u00f8j til at kontrollere og spore eventuelle \u00e6ndringer, der er foretaget.<\/p>\n

Funktionen \"verified boot\" er implementeret gennem device-mapper-verity-funktionen (dm-verity<\/a><\/noindex>), som kontrollerer integriteten af rodpartitionen under opstart. AWS beskriver dm-verity som \"en Linux-kernemulighed, der sikrer integritetskontrol for at forhindre ondsindet software i at k\u00f8re i OS, s\u00e5som overskrivning af de grundl\u00e6ggende systemprogrammer.\"<\/p>\n

Der er ogs\u00e5 et filter i systemet eBPF<\/a><\/noindex> (udvidet BPF, udviklet af Alexey Starovoitov<\/a><\/noindex>), som g\u00f8r det muligt at erstatte kerne-moduler med mere sikre BPF-programmer til lavniveau systemoperationer.<\/p>\n

K\u00f8remodel
\nDefineret af brugeren
\nKompilering
\nSikkerhed
\nFejltilstand
\nAdgang til ressourcer<\/p>\n

Bruger<\/b>
\ntask
\nja
\nenhver
\nBrugerrettigheder
\nafbryde udf\u00f8relsen
\nsystemopkald, fejl<\/p>\n

Kernel<\/b>
\ntask
\nnej
\nstatisk
\nnej
\nkernepanik
\ndirekte<\/p>\n

BPF<\/b>
\nbegivenhed
\nja
\nJIT, CO-RE
\nverifikation, JIT
\nfejlmeddelelse
\nbegr\u00e6nsede hj\u00e6lpere<\/p>\n

\nForskellen mellem BPF og almindelig bruger- eller kernkode, kilde<\/a><\/noindex><\/i><\/p>\n

AWS har meldt, at Bottlerocket \"anvender en driftsmodel, der yderligere forbedrer sikkerheden ved at forhindre forbindelser til produktionsservere med administratorrettigheder\", og \"er velegnet til store distribuerede systemer, hvor kontrollen over hver enkelt v\u00e6rt er begr\u00e6nset.\"<\/p>\n

Der er en administratorcontainer til systemadministratorer. Men AWS mener ikke, at administratoren ofte skal arbejde inde i Bottlerocket: \"Adgangen til en enkelt Bottlerocket-instans er beregnet til sj\u00e6ldne operationer: udvidet fejlfinding og debugging\", \u2013 at forskning er inkluderet, men tilf\u00f8jelser er stadig utilg\u00e6ngelige), men udviklerne \u00f8nskede at udgive en rettelse inden mandag.<\/a><\/noindex> udviklerne.<\/p>\n

Rust-sproget<\/h1>\n

\nOS-v\u00e6rkt\u00f8jerne oven p\u00e5 kernen er hovedsageligt skrevet i Rust. Dette sprog reducerer sandsynligheden for usikker hukommelsesadgang<\/a><\/noindex>, samt eliminerer race-tilstande mellem tr\u00e5de<\/a><\/noindex>.<\/p>\n

Standardbygninger anvender flag --enable-default-pie<\/code> og --enable-default-ssp<\/code> for at aktivere randomisering af adresserummet for eksekverbare filer (position-independent executable<\/a><\/noindex>, PIE) og beskyttelse mod stakoverl\u00f8b.<\/p>\n

For C\/C++-pakker tilf\u00f8jes der yderligere flags -Wall<\/code>, -Werror=format-security<\/code>, -Wp,-D_FORTIFY_SOURCE=2<\/code>, -Wp,-D_GLIBCXX_ASSERTIONS<\/code> og -fstack-clash-protection<\/code>.<\/p>\n

Udover Rust og C\/C++ er nogle pakker skrevet i Go-sproget.<\/p>\n

Integration med AWS-tjenester<\/h1>\n

\nForskellen fra lignende containeroperativsystemer er, at Amazon har optimeret Bottlerocket til at arbejde p\u00e5 AWS og integrere med andre AWS-tjenester.<\/p>\n

Den mest popul\u00e6re containerorkestrator er Kubernetes, s\u00e5 AWS har implementeret integration med sin egen Enterprise Kubernetes Service (EKS). V\u00e6rkt\u00f8jer til orkestrering leveres i en separat kontrolcontainer bottlerocket-control-container<\/a><\/noindex>, som er inkluderet som standard og styres via API og AWS SSM Agent.<\/p>\n

Det vil v\u00e6re interessant at se, om Bottlerocket f\u00e5r succes, is\u00e6r i lyset af nogle tidligere mislykkede initiativer. For eksempel blev PhotonOS fra Vmware uinteressant, og RedHat k\u00f8bte CoreOS og lukkede projektet<\/a><\/noindex>, som blev anset for at v\u00e6re en pioner inden for dette omr\u00e5de.<\/p>\n

Integration af Bottlerocket i AWS-tjenesterne g\u00f8r dette system unikt. M\u00e5ske er det hoved\u00e5rsagen til, at nogle brugere kan foretr\u00e6kke Bottlerocket frem for andre distributioner som CoreOS eller Alpine. Systemet er oprindeligt designet til at arbejde med EKS og ECS, men lad os gentage, at dette ikke er n\u00f8dvendigt. For det f\u00f8rste kan Bottlerocket bygge selv<\/a><\/noindex> ogs\u00e5 anvendes som en hosted-l\u00f8sning. For det andet har brugere af EKS og ECS stadig mulighed for at v\u00e6lge OS.<\/p>\n

Kildekoden til Bottlerocket er offentliggjort p\u00e5 GitHub under Apache 2.0-licensen. Udviklere reagerer allerede p\u00e5 bugrapporter og funktionsanmodninger<\/a><\/noindex>.<\/p>\n

<\/p>\n

Annoncering<\/h4>\n

\nVDSina<\/b> tilbyder VDS med daglig betaling<\/a><\/noindex>. Det er muligt at installere ethvert operativsystem, ogs\u00e5 fra eget billede. Hver server er tilsluttet en internetforbindelse p\u00e5 500 Megabit og er gratis beskyttet mod DDoS-angreb! <\/p>\n

\"En<\/a><\/noindex>
\n
Kilde: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Amazon \u043e\u0431\u044a\u044f\u0432\u0438\u043b\u0430 \u043e \u0444\u0438\u043d\u0430\u043b\u044c\u043d\u043e\u043c \u0440\u0435\u043b\u0438\u0437\u0435 Bottlerocket \u2014 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u0434\u0438\u0441\u0442\u0440\u0438\u0431\u0443\u0442\u0438\u0432\u0430 \u0434\u043b\u044f \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u043e\u0432 \u0438 \u044d\u0444\u0444\u0435\u043a\u0442\u0438\u0432\u043d\u043e\u0433\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0438\u043c\u0438. Bottlerocket (\u043a\u0441\u0442\u0430\u0442\u0438, \u0442\u0430\u043a \u043d\u0430\u0437\u044b\u0432\u0430\u044e\u0442 \u043c\u0435\u043b\u043a\u0438\u0435 \u0441\u0430\u043c\u043e\u0434\u0435\u043b\u044c\u043d\u044b\u0435 \u0440\u0430\u043a\u0435\u0442\u044b \u043d\u0430 \u0434\u044b\u043c\u043d\u043e\u043c \u043f\u043e\u0440\u043e\u0445\u0435) \u2014 \u043d\u0435 \u043f\u0435\u0440\u0432\u0430\u044f \u041e\u0421 \u0434\u043b\u044f \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u043e\u0432, \u043d\u043e \u0432\u043f\u043e\u043b\u043d\u0435 \u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e, \u0447\u0442\u043e \u043e\u043d\u0430 \u043f\u043e\u043b\u0443\u0447\u0438\u0442 \u0448\u0438\u0440\u043e\u043a\u043e\u0435 \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u0435 \u0431\u043b\u0430\u0433\u043e\u0434\u0430\u0440\u044f \u0434\u0435\u0444\u043e\u043b\u0442\u043d\u043e\u0439 \u0438\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u0438 \u0441 \u0441\u0435\u0440\u0432\u0438\u0441\u0430\u043c\u0438 AWS. \u0425\u043e\u0442\u044f \u0441\u0438\u0441\u0442\u0435\u043c\u0430 \u043e\u0440\u0438\u0435\u043d\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0430 \u043d\u0430 \u043e\u0431\u043b\u0430\u043a\u043e Amazon, \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u0439 \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u0439 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":94206,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-94205","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Den minimalistiske Linux-distribution Bottlerocket til containerk\u00f8rsel er blevet udgivet. Det vigtigste om den | ProHoster","description":"","canonical_url":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/vyshel-minimalistichnyj-linux-distributiv-bottlerocket-dlya-zapuska-kontejnerov-samoe-glavnoe-o-nyom","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"da_DK","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0412\u044b\u0448\u0435\u043b \u043c\u0438\u043d\u0438\u043c\u0430\u043b\u0438\u0441\u0442\u0438\u0447\u043d\u044b\u0439 Linux-\u0434\u0438\u0441\u0442\u0440\u0438\u0431\u0443\u0442\u0438\u0432 Bottlerocket \u0434\u043b\u044f \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u043e\u0432. \u0421\u0430\u043c\u043e\u0435 \u0433\u043b\u0430\u0432\u043d\u043e\u0435 \u043e \u043d\u0451\u043c | ProHoster","og:url":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/vyshel-minimalistichnyj-linux-distributiv-bottlerocket-dlya-zapuska-kontejnerov-samoe-glavnoe-o-nyom","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-09-13T17:42:49+00:00","article:modified_time":"2020-09-13T17:42:49+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"94205","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 11:31:27","updated":"2022-10-03 07:42:47","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/94205","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/comments?post=94205"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/94205\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media\/94206"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media?parent=94205"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/categories?post=94205"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/tags?post=94205"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}