Microsoft hat das Update für die Azure Linux-Distribution 3.0.20241203 veröffentlicht. Diese Distribution entwickelt sich zu einer universellen Basisplattform für Linux-Umgebungen, die in Cloud-Infrastrukturen, Edge-Systemen und verschiedenen Microsoft-Diensten verwendet werden. Die eigenen Entwicklungen des Projekts werden unter der MIT-Lizenz veröffentlicht. Die Paketbuilds werden für die Architekturen aarch64 und x86_64 erstellt. Die Größe des Installationsabbilds beträgt 750 MB.
Zu den Änderungen in der neuen Version gehören:
- Der Paketfilter iptables wurde auf die Verarbeitung von Befehlen durch die Übersetzung von Regeln in Bytecode von nftables umgestellt (standardmäßig wird anstelle von iptables-legacy das Paket iptables-nft verwendet).
- Für Systeme der Architektur Aarch64 wurde zusätzlich ein Paket mit dem Kernel kernel-64k angeboten, das große Speicherseiten mit einer Größe von 64 KB nutzt (der Kernel wurde mit der Option CONFIG_ARM64_64K_PAGES erstellt).
- Im Paketmanager tdnf (eine dnf-ähnliche Version, die auf C-Bibliotheken basiert) wurde die Unterstützung für die Einstellung «installonlypkgs» hinzugefügt, die zur Verwaltung der Installation des Kernels kernel-64k verwendet wird.
- Bei der Verwendung von systemd-networkd wurde die Verarbeitung von livenet rootfs aus Dracut aktiviert.
- Ein Treiber für Intel Ethernet Connection E800-Netzwerkkarten wurde hinzugefügt.
- Die Protokollverarbeitung von fluent-bit unterstützt jetzt die Programmiersprache Lua.
- Die Überprüfung von digitalen Signaturen für über den kexec-Mechanismus geladene Kernel ist aktiviert.
- Zur Erkennung von Container-Builds wird anstelle der Überprüfung der Datei «/.dockerenv» das Dienstprogramm systemd-detect-virt verwendet.
- Die Versionen der Pakete wurden aktualisiert, darunter der Linux-Kernel 6.6.57, shim 15.8, SymCrypt 103.6.0, Valkey (Fork von Redis) 8.0.1, Go 1.23.3, MariaDB 10.11.10, PostgreSQL 16.5.
Die Azure Linux-Distribution bietet eine kleine Auswahl an grundlegenden Paketen, die als universelle Grundlage für die Erstellung von Container-Images, Host-Umgebungen und Diensten dienen, die in Cloud-Infrastrukturen und auf Edge-Geräten laufen. Komplexere und spezialisierte Lösungen können durch das Hinzufügen weiterer Pakete zu Azure Linux erstellt werden, jedoch bleibt die Basis für alle derartigen Systeme unverändert, was die Wartung und Vorbereitung von Aktualisierungen erleichtert.
Azure Linux wird als Grundlage für die Mini-Distribution WSLg verwendet, die Komponenten des Grafik-Stacks für den Betrieb von GUI-Anwendungen auf Linux in WSL2-Umgebungen (Windows Subsystem for Linux) bereitstellt. Erweiterte Funktionen in WSLg werden durch das Hinzufügen zusätzlicher Pakete mit kompositorischem dem Server durch Weston, XWayland, PulseAudio und FreeRDP.
Für die Verwaltung von Diensten und Systemlast kommt der Systemmanager systemd zum Einsatz. Die Paketverwaltung erfolgt über die Paketmanager RPM und DNF. Der SSH-Server ist standardmäßig nicht aktiviert. Für die Installation der Distribution steht ein Installer zur Verfügung, der sowohl im Text- als auch im grafischen Modus arbeiten kann. Der Installer bietet die Möglichkeit, ein vollständiges oder grundlegendes Paketset zu installieren, sowie eine Benutzeroberfläche zur Auswahl der Festplattenpartition, der Hostnamen und zur Erstellung von Benutzern.
Das Build-System von Azure Linux ermöglicht die Generierung sowohl einzelner RPM-Pakete basierend auf SPEC-Dateien und Quelltexten als auch monolithischer Systemabbilder, die mithilfe des rpm-ostree-Werkzeugs erstellt werden und atomar aktualisiert werden, ohne sie in einzelne Pakete aufzuteilen. Dementsprechend werden zwei Modelle zur Bereitstellung von Updates unterstützt: über die Aktualisierung einzelner Pakete und über den Neuaufbau und die Aktualisierung des gesamten Systemabbilds. Ein Repository, das etwa 3000 bereits erstellte RPM-Pakete enthält, steht zur Verfügung und kann zur Erstellung eigener Abbilder auf Basis einer Konfigurationsdatei verwendet werden.
Die Basisplattform umfasst nur die notwendigsten Komponenten und ist für einen minimalen Speicher- und Festplattenspeicherbedarf sowie eine hohe Ladegeschwindigkeit optimiert. In diesem Projekt wird der Ansatz „maximale Sicherheit per Default“ verfolgt, der die Aktivierung verschiedener zusätzlicher Mechanismen zur Erhöhung des Schutzes beinhaltet:
- Filterung von Systemaufrufen durch den seccomp-Mechanismus.
- Verschlüsselung von Festplattenteilen.
- Verifizierung von Paketen anhand digitaler Signaturen.
- Adressraumrandomisierung.
- Schutz vor Angriffen, die mit symbolischen Links, mmap, /dev/mem und /dev/kmem verbunden sind.
- Nur-Lese-Modus und Verbot der Codeausführung in Bereichen des Speichers, in denen Datensegmente des Kernels und von Modulen platziert sind.
- Option zum Verbot des Ladens von Kernelmodulen nach der Systeminitialisierung.
- Verwendung von iptables zur Filterung von Netzwerkpaketen.
- Aktivierung von Schutzmodi gegen Stacküberläufe, Pufferüberläufe und Formatierungsprobleme (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro) beim Kompilieren.
Quelle: opennet.ru
