Microsoft hat die Distribution CBL-Mariner in Azure Linux umbenannt. Früher wurde der Name Azure Linux für eine spezialisierte Version verwendet, die im Azure Kubernetes Service (AKS) installiert wurde, während die allgemeine Plattform zur Erstellung von Distributionen unter dem Namen CBL-Mariner (Common Base Linux Mariner) weiterentwickelt wurde. Vor einigen Tagen hat Microsoft das Repository CBL-Mariner in azurelinux umbenannt, die Namen der Tools geändert und die Erwähnung von CBL-Mariner in der Dokumentation mit Azure Linux ersetzt. Daraufhin wurde die erste Version der Plattform mit dem neuen Namen – Azure Linux 2.0.20240301 – veröffentlicht, in der angesammelte Fehler und Sicherheitslücken in Anwendungen behoben wurden.
Das Projekt zielt darauf ab, die von Microsoft verwendeten Linux-Lösungen zu vereinheitlichen und die Wartung von Linux-Systemen für verschiedene Zwecke zu erleichtern. Unter anderem wird die Distribution in der Cloud-Infrastruktur, Edge-Systemen und verschiedenen Microsoft-Diensten eingesetzt. Die Entwicklungen des Projekts werden unter der MIT-Lizenz veröffentlicht. Pakete werden für die Architekturen aarch64 und x86_64 erstellt. Ein bootfähiges ISO-Abbild (860 MB) für die Architektur x86_64 wurde vorbereitet.
Die Azure Linux-Distribution bietet eine kleine Auswahl an grundlegenden Paketen, die als universelle Grundlage für die Erstellung von Container-Images, Host-Umgebungen und Diensten dienen, die in Cloud-Infrastrukturen und auf Edge-Geräten laufen. Komplexere und spezialisierte Lösungen können durch das Hinzufügen weiterer Pakete zu Azure Linux erstellt werden, jedoch bleibt die Basis für alle derartigen Systeme unverändert, was die Wartung und Vorbereitung von Aktualisierungen erleichtert.
Zum Beispiel wird Azure Linux als Basis für das Mini-Distributions-Werkzeug WSLg verwendet, das die Komponenten des grafischen Stacks bereitstellt, um GUI-Anwendungen von Linux in Umgebungen auf Grundlage der WSL2 (Windows Subsystem for Linux) auszuführen. Die erweiterten Funktionen in WSLg werden durch die Einbeziehung zusätzlicher Pakete mit Composite-Assets realisiert. Server Weston, XWayland, PulseAudio und FreeRDP.
Das Build-System von Azure Linux ermöglicht die Generierung sowohl einzelner RPM-Pakete basierend auf SPEC-Dateien und Quelltexten als auch monolithischer Systemabbilder, die mithilfe des rpm-ostree-Werkzeugs erstellt werden und atomar aktualisiert werden, ohne sie in einzelne Pakete aufzuteilen. Dementsprechend werden zwei Modelle zur Bereitstellung von Updates unterstützt: über die Aktualisierung einzelner Pakete und über den Neuaufbau und die Aktualisierung des gesamten Systemabbilds. Ein Repository, das etwa 3000 bereits erstellte RPM-Pakete enthält, steht zur Verfügung und kann zur Erstellung eigener Abbilder auf Basis einer Konfigurationsdatei verwendet werden.
Die Basisplattform umfasst nur die notwendigsten Komponenten und ist für einen minimalen Speicher- und Festplattenspeicherbedarf sowie eine hohe Ladegeschwindigkeit optimiert. In diesem Projekt wird der Ansatz „maximale Sicherheit per Default“ verfolgt, der die Aktivierung verschiedener zusätzlicher Mechanismen zur Erhöhung des Schutzes beinhaltet:
- Filterung von Systemaufrufen durch den seccomp-Mechanismus.
- Verschlüsselung von Festplattenteilen.
- Verifizierung von Paketen anhand digitaler Signaturen.
- Adressraumrandomisierung.
- Schutz vor Angriffen, die mit symbolischen Links, mmap, /dev/mem und /dev/kmem verbunden sind.
- Nur-Lese-Modus und Verbot der Codeausführung in Bereichen des Speichers, in denen Datensegmente des Kernels und von Modulen platziert sind.
- Option zum Verbot des Ladens von Kernelmodulen nach der Systeminitialisierung.
- Verwendung von iptables zur Filterung von Netzwerkpaketen.
- Aktivierung von Schutzmodi gegen Stacküberläufe, Pufferüberläufe und Formatierungsprobleme (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro) beim Kompilieren.
Für die Verwaltung von Diensten und Systemlast kommt der Systemmanager systemd zum Einsatz. Die Paketverwaltung erfolgt über die Paketmanager RPM und DNF. Der SSH-Server ist standardmäßig nicht aktiviert. Für die Installation der Distribution steht ein Installer zur Verfügung, der sowohl im Text- als auch im grafischen Modus arbeiten kann. Der Installer bietet die Möglichkeit, ein vollständiges oder grundlegendes Paketset zu installieren, sowie eine Benutzeroberfläche zur Auswahl der Festplattenpartition, der Hostnamen und zur Erstellung von Benutzern.
Neben den Änderungen im Zusammenhang mit CBL-Mariner und Azure Linux hat Microsoft auch eine neue Version der Azure Sphere Plattform 24.03 vorgestellt, die auf dem Linux-Kernel basiert und für die Entwicklung von Internet-of-Things-Geräten auf Basis energieeffizienter Mikrocontroller (MCU, microcontroller unit) mit integrierten Peripheriesystemen gedacht ist. Eine der Besonderheiten der Plattform ist das Pluton-Subsystem, das dazu dient, Hardware für Verschlüsselung, Speicherung geheimer Schlüssel und Durchführung komplexer kryptografischer Operationen bereitzustellen. Pluton umfasst einen separaten spezialisierten Prozessor, eine kryptografische Engine, einen hardwarebasierten Zufallszahlengenerator und einen isolierten Schlüsselbund.
Quelle: opennet.ru
