Bottlerocket 1.8 ist verfügbar, eine Distribution auf Basis isolierter Container.

Die Ausgabe der Linux-Distribution Bottlerocket 1.8.0 wurde veröffentlicht, die mit Unterstützung von Amazon entwickelt wurde, um isolierte Container effizient und sicher auszuführen. Die Werkzeuge und Verwaltungsbestandteile der Distribution sind in der Programmiersprache Rust geschrieben und unter den Lizenzen MIT und Apache 2.0 lizenziert. Bottlerocket unterstützt den Betrieb in Amazon ECS-Clustern, VMware und AWS EKS Kubernetes sowie die Erstellung beliebiger Builds und Editionen, die die Anwendung verschiedener Orchestrierungs- und Laufzeitwerkzeuge für Container erlauben.

Die Distribution bietet ein atomar und automatisch aktualisiertes, unteilbares Systemabbild, das einen Linux-Kernel und eine minimale Systemumgebung umfasst, die nur die für den Betrieb von Containern erforderlichen Komponenten enthält. In der Umgebung sind der Systemmanager systemd, die Bibliothek Glibc, das Build-Werkzeug Buildroot, der Bootloader GRUB, der Netzwerk-Konfigurator wicked, das Runtime für isolierte Container containerd, die Container-Orchestrierungsplattform Kubernetes, der Authenticator aws-iam-authenticator und der Amazon ECS-Agent integriert.

Die Werkzeuge zur Orchestrierung von Containern werden in einem separaten Verwaltungs-Container bereitgestellt, der standardmäßig aktiviert ist und über die API und den AWS SSM Agent verwaltet wird. In dem Basisabbild fehlt eine Kommandozeile. Server SSH und interpretierte Sprachen (zum Beispiel, kein Python oder Perl) – Werkzeuge für Administratoren und Debugging-Tools sind in einen separaten Dienstcontainer ausgegliedert, der standardmäßig deaktiviert ist.

Das Hauptmerkmal im Vergleich zu ähnlichen Distributionen wie Fedora CoreOS, CentOS/Red Hat Atomic Host ist die primäre Ausrichtung auf maximale Sicherheit im Kontext der Verstärkung des Schutzes des Systems gegen mögliche Bedrohungen, der Erschwernis der Ausnutzung von Schwachstellen in Betriebssystemkomponenten und der Erhöhung der Isolation von Containern. Container werden mithilfe der Standardmechanismen des Linux-Kernels – cgroups, Namensräume und seccomp – erstellt. Für zusätzliche Isolation wird im Distribution SELinux im Modus „enforcing“ eingesetzt.

Die Wurzelpartition wird im Nur-Lese-Modus eingehängt, während die Konfigurationspartition /etc in tmpfs eingebunden wird und ihren Ursprungszustand nach einem Neustart wiederherstellt. Direkte Änderungen an Dateien im Verzeichnis /etc, wie /etc/resolv.conf und /etc/containerd/config.toml, werden nicht unterstützt – für das dauerhafte Speichern von Einstellungen sollten die API oder separate Container verwendet werden. Für die kryptografische Verifizierung der Integrität der Wurzelpartition wird das Modul dm-verity verwendet, und im Falle eines Versuchs, Daten auf Blockgerätebene zu verändern, wird das System neu gestartet.

Die meisten Systemkomponenten sind in der Programmiersprache Rust geschrieben, die sichere Speicheroperationen ermöglicht und Schwachstellen vermeidet, die durch Zugriffe auf den Speicher nach dessen Freigabe, Dereferenzierung von Nullzeigern und Buffer-Overflow verursacht werden können. Bei der Standardkompilierung werden die Kompilierungsmodi „—enable-default-pie“ und „—enable-default-ssp“ verwendet, um die Zufälligkeit des Adressraums von ausführbaren Dateien (PIE) sowie den Schutz vor Stack-Overflow durch das Einführen von Canary-Werten zu aktivieren. Für Pakete, die in C/C++ geschrieben sind, werden zusätzlich die Flags „-Wall“, „-Werror=format-security“, „-Wp,-D_FORTIFY_SOURCE=2“, „-Wp,-D_GLIBCXX_ASSERTIONS“ und „-fstack-clash-protection“ hinzugefügt.

In der neuen Version:

• Der Inhalt der administrativen und Steuerungscontainer wurde aktualisiert.
• Die Laufzeit für isolierte Container wurde auf die Version containerd 1.6.x aktualisiert.
• Der Neustart von Hintergrundprozessen, die die Arbeit der Container koordinieren, nach Änderungen im Zertifikatsspeicher wurde sichergestellt.
• Die Möglichkeit wurde bereitgestellt, die Boot-Parameter des Kernels über den Abschnitt Boot Configuration festzulegen.
• Es wurde die Ignorierung leerer Blöcke bei der Integritätsprüfung des Root-Partitions mit dm-verity implementiert.
• Die Möglichkeit der statischen Bindung von Hostnamen in /etc/hosts wurde bereitgestellt.
• Die Möglichkeit zur Erstellung einer Netzwerkkonfiguration mit dem Tool netdog (Befehl generate-net-config hinzugefügt) wurde bereitgestellt.
• Neue Distribution-Varianten mit Unterstützung für Kubernetes 1.23 wurden angeboten. Die Startzeit von Pods in Kubernetes wurde durch Deaktivierung des configMapAndSecretChangeDetectionStrategy-Modus verkürzt. Neue kubelet-Einstellungen wurden hinzugefügt: provider-id und podPidsLimit.
• Eine neue Variante der Distribution "aws-ecs-1-nvidia" für den Amazon Elastic Container Service (Amazon ECS) wurde vorgestellt, die mit NVIDIA-Treibern geliefert wird.
• Die Unterstützung für Microchip Smart Storage- und MegaRAID SAS-Speichergeräte wurde hinzugefügt. Die Unterstützung für Ethernet-Karten mit Broadcom-Chips wurde erweitert.
• Die Versionen von Paketen und Abhängigkeiten für die Programmiersprachen Go und Rust sowie die Versionen von Paketen von Drittanbietern wurden aktualisiert. Das Bottlerocket SDK wurde auf Version 0.26.0 aktualisiert.

Quelle: opennet.ru