Microsoft hat die erste stabile Version des Projekts CBL-Mariner 1.0 (Common Base Linux Mariner) veröffentlicht. CBL-Mariner wird als universelle Basisplattform für Linux-Umgebungen entwickelt, die in der Cloud-Infrastruktur, in Edge-Systemen und in verschiedenen Microsoft-Diensten eingesetzt werden. Das Ziel des Projekts ist es, die in Microsoft verwendeten Linux-Lösungen zu vereinheitlichen und die Wartung von Linux-Systemen für verschiedene Anwendungen zu vereinfachen. Die Ergebnisse des Projekts werden unter der MIT-Lizenz veröffentlicht.
Das Distribution bietet eine kleine Standardauswahl an grundlegenden Paketen, die als universelle Grundlage für die Erstellung von Containervarianten, Host-Umgebungen und Diensten dienen, die in Cloud-Infrastrukturen und auf Edge-Geräten ausgeführt werden. Komplexere und spezialisierte Lösungen können durch Hinzufügen zusätzlicher Pakete auf CBL-Mariner erstellt werden, jedoch bleibt die Basis für all diese Systeme unverändert, was die Wartung und Aktualisierung erleichtert.
Beispielsweise wird CBL-Mariner als Grundlage für die Mini-Distribution WSLg verwendet, die Komponenten des grafischen Stacks bereitstellt, um die Ausführung von GUI-Anwendungen unter Linux in Umgebungen auf Basis der WSL2 (Windows-Subsystem für Linux) zu ermöglichen. Die Grundlage dieser Distribution bleibt unverändert, während die erweiterte Funktionalität durch das Hinzufügen zusätzlicher Pakete mit Composite-Funktionalität erreicht wird. Server Weston, XWayland, PulseAudio und FreeRDP.
Das Build-System von CBL-Mariner ermöglicht die Erstellung sowohl einzelner RPM-Pakete auf Basis von SPEC-Dateien und Quelltexten als auch monolithischer Systemabbilder, die mithilfe des rpm-ostree-Werkzeugs erstellt und atomar ohne Aufteilung in separate Pakete aktualisiert werden. Dementsprechend werden zwei Modelle für die Bereitstellung von Updates unterstützt: durch Aktualisierung einzelner Pakete und durch den Wiederaufbau und die Aktualisierung des gesamten Systemabbilds. Die Distribution enthält nur die notwendigsten Komponenten und ist für einen minimalen Speicher- und Festplattenspeicherverbrauch sowie für eine hohe Bootgeschwindigkeit optimiert. Zudem ist die Distribution bemerkenswert durch die Integration verschiedener zusätzlicher Mechanismen zur Verbesserung der Sicherheit.
Im Projekt wird der Ansatz "maximale Sicherheit standardmäßig" verfolgt. Es besteht die Möglichkeit, Systemaufrufe mithilfe des seccomp-Mechanismus zu filtern, Festplattenpartitionen zu verschlüsseln und Pakete anhand ihrer digitalen Signatur zu verifizieren. In der Standardkonfiguration sind Schutzmodi gegen Stapelüberläufe, Pufferüberläufe und Formatierungsprobleme (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro) aktiviert. Die unterstützten Modis der Adressraumrandomisierung im Linux-Kernel sowie Mechanismen zum Schutz vor Angriffen im Zusammenhang mit symbolischen Links, mmap, /dev/mem und /dev/kmem sind ebenfalls aktiv. Für Speicherbereiche, in denen Kernel- und Modul-Datensegmente abgelegt werden, ist der Modus auf nur lesen eingestellt und die Ausführung von Code ist verboten. Optional besteht die Möglichkeit, das Laden von Kernelmodulen nach der Systeminitialisierung zu verbieten. Zum Filtern von Netzpaketen wird das Werkzeug iptables eingesetzt.
Готовые ISO-образы не предоставляются. Подразумевается, что пользователь может сам создать образ с необходимой начинкой (cборочные инструкции предоставлены для Ubuntu 18.04). Доступен репозиторий с уже собранными RPM-пакетами, который можно использовать для компоновки собственных образов на основе файла конфигурации. В репозитории предложено около 3300 пакетов. Например, для сборки полного iso-образа достаточно выполнить: git clone https://github.com/microsoft/CBL-Mariner.git cd CBL-Mariner/toolkit sudo make iso REBUILD_TOOLS=y REBUILD_PACKAGES=n CONFIG_FILE=./imageconfigs/full.json
Für die Verwaltung von Diensten und dem Bootprozess wird der systemd-Systemmanager verwendet. Für die Paketverwaltung stehen die Paketmanager RPM und DNF (die tdnf-Variante von vmWare) zur Verfügung. Der SSH-Server wird standardmäßig nicht aktiviert. Zur Installation der Distribution steht ein Installer zur Verfügung, der sowohl im Text- als auch im Grafikmodus arbeiten kann. Im Installer besteht die Möglichkeit, mit einem vollständigen oder minimalen Paketset zu installieren, und es wird eine Benutzeroberfläche zur Auswahl der Partition, des Hostnamens und zur Erstellung von Benutzern angeboten.
Quelle: opennet.ru
