Die Microsoft Corporation hat das erste stabile Update des neuen CBL-Mariner 2.0 (Common Base Linux Mariner) Distributionszweigs veröffentlicht, der als universelle Basisplattform für Linux-Umgebungen dient, die in Cloud-Infrastrukturen, Edge-Systemen und verschiedenen Microsoft-Diensten verwendet werden. Das Projekt zielt darauf ab, die in Microsoft verwendeten Linux-Lösungen zu vereinheitlichen und die Wartung von Linux-Systemen verschiedener Art auf dem neuesten Stand zu halten. Die Ergebnisse des Projekts werden unter der MIT-Lizenz veröffentlicht. Die Paketbuilds werden für die Architekturen aarch64 und x86_64 erstellt.
Die neue Version ist bemerkenswert für das bedeutende Update von Softwareversionen. Darunter wurden die Versionen des Linux-Kernels 5.15 aktualisiert (im Branch 1.0 wurde Kernel 5.4 verwendet), systemd 250, glibc 2.35, GCC 11.2, clang 12, Python 3.9, ruby 3.1.2, rpm 4.17, qemu 6.1, perl 5.34, ostree 2022.1. Das Basispaket-Repository umfasst Komponenten zum Erstellen von grafischen Schnittstellen, wie Wayland 1.20, Mesa 21.0, GTK 3.24 und X.Org Server 1.20.10, die zuvor in einem separaten coreui-Repository bereitgestellt wurden. Kernel-Builds mit PREEMPT_RT-Patches wurden hinzugefügt, um in Echtzeitsystemen eingesetzt werden zu können.
Die CBL-Mariner-Distribution bietet eine kleine standardisierte Sammlung grundlegender Pakete, die als universelle Grundlage für die Erstellung von Container-Füllungen, Host-Umgebungen und Diensten dienen, die in Cloud-Infrastrukturen und auf Edge-Geräten betrieben werden. Komplexere und spezialisierte Lösungen können durch das Hinzufügen zusätzlicher Pakete über CBL-Mariner erstellt werden, aber die Basis für all diese Systeme bleibt unverändert, was die Wartung und die Vorbereitung von Updates erleichtert. Zum Beispiel wird CBL-Mariner als Grundlage für die Mini-Distribution WSLg verwendet, die Komponenten des grafischen Stacks bereitstellt, um die Ausführung von GUI-Anwendungen unter Linux in Umgebungen, die auf dem WSL2 (Windows Subsystem for Linux) basieren, zu ermöglichen. Erweiterte Funktionen in WSLg werden durch das Hinzufügen zusätzlicher Pakete mit Kompositen realisiert. Server Weston, XWayland, PulseAudio und FreeRDP.
Das CBL-Mariner-Bausystem ermöglicht die Generierung sowohl einzelner RPM-Pakete auf Basis von SPEC-Dateien und Quelltexten als auch monolithischer Systemabbilder, die mit den Werkzeugen rpm-ostree erstellt und atomar aktualisiert werden, ohne sie in einzelne Pakete aufzuteilen. Entsprechend werden zwei Modelle für die Bereitstellung von Updates unterstützt: über das Update einzelner Pakete und durch den Neubau und die Aktualisierung des gesamten Systemabbilds. Ein Repository, das etwa 3000 bereits erstellte RPM-Pakete umfasst, steht zur Verfügung, welches zur Erstellung eigener Abbilder basierend auf einer Konfigurationsdatei genutzt werden kann.
Die Distribution umfasst nur die notwendigsten Komponenten und ist für einen minimalen Speicher- und Festplattenspeicherverbrauch sowie für hohe Bootgeschwindigkeit optimiert. Außerdem zeichnet sich die Distribution durch die Einbeziehung verschiedener zusätzlicher Mechanismen zur Verbesserung der Sicherheit aus. Im Projekt wird der Ansatz „maximale Sicherheit als Standard“ angewendet. Es besteht die Möglichkeit, Systemaufrufe mithilfe des Seccomp-Mechanismus zu filtern, Festplattenteile zu verschlüsseln und Pakete über digitale Signaturen zu verifizieren.
Die im Linux-Kernel unterstützten Modi zur Randomisierung des Adressraums sowie Mechanismen zum Schutz vor Angriffen im Zusammenhang mit symbolischen Links, mmap, /dev/mem und /dev/kmem sind aktiviert. Für Speicherbereiche, in denen Segmente mit Daten des Kernels und der Module abgelegt werden, ist der Modus schreibgeschützt und die Ausführung von Code ist verboten. Optional besteht die Möglichkeit, das Laden von Kernelmodulen nach der Systeminitialisierung zu verbieten. Zum Filtern von Netzwerkpaketen wird das Werkzeug iptables verwendet. Standardmäßig sind beim Erstellen Schutzmodi gegen Stacküberläufe, Pufferüberläufe und String-Formatierungsprobleme (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro) aktiviert.
Zur Verwaltung von Diensten und dem Bootprozess wird der Systemmanager systemd verwendet. Für die Paketverwaltung stehen die Paketmanager RPM und DNF zur Verfügung. Der SSH-Server ist standardmäßig nicht aktiviert. Ein Installer für die Distribution ist verfügbar, der sowohl im Text- als auch im Grafikmodus ausgeführt werden kann. Im Installer gibt es die Möglichkeit, entweder mit einem vollständigen oder einem Basis-Paketset zu installieren, es wird ein Interface zur Auswahl der Partition, zur Festlegung des Hostnamens und zur Erstellung von Benutzern angeboten.
Quelle: opennet.ru
