Veröffentlichung von Bottlerocket 1.2, einem Distribution auf Basis von isolierten Containern

Die Veröffentlichung der Linux-Distribution Bottlerocket 1.2.0 ist verfügbar, die mit Unterstützung von Amazon entwickelt wurde, um effektive und sichere Ausführungen isolierter Container zu ermöglichen. Die Werkzeuge und Verwaltungskomponenten der Distribution sind in Rust geschrieben und stehen unter den Lizenzen MIT und Apache 2.0 zur Verfügung. Bottlerocket unterstützt die Ausführung in Amazon ECS-, VMware- und AWS EKS-Kubernetes-Clustern sowie die Erstellung beliebiger Builds und Editionen, die verschiedene Orchestrierungs- und Runtime-Tools für Container zulassen.

Die Distribution bietet ein atomar und automatisch aktualisiertes, unteilbares Systemabbild, das einen Linux-Kernel und eine minimale Systemumgebung umfasst, die nur die für den Betrieb von Containern erforderlichen Komponenten enthält. In der Umgebung sind der Systemmanager systemd, die Bibliothek Glibc, das Build-Werkzeug Buildroot, der Bootloader GRUB, der Netzwerk-Konfigurator wicked, das Runtime für isolierte Container containerd, die Container-Orchestrierungsplattform Kubernetes, der Authenticator aws-iam-authenticator und der Amazon ECS-Agent integriert.

Die Werkzeuge zur Orchestrierung von Containern werden in einem separaten Verwaltungs-Container bereitgestellt, der standardmäßig aktiviert ist und über die API und den AWS SSM Agent verwaltet wird. In dem Basisabbild fehlt eine Kommandozeile. Server SSH und interpretierte Sprachen (zum Beispiel, kein Python oder Perl) – Werkzeuge für Administratoren und Debugging-Tools sind in einen separaten Dienstcontainer ausgegliedert, der standardmäßig deaktiviert ist.

Das Hauptmerkmal im Vergleich zu ähnlichen Distributionen wie Fedora CoreOS, CentOS/Red Hat Atomic Host ist die primäre Ausrichtung auf maximale Sicherheit im Kontext der Verstärkung des Schutzes des Systems gegen mögliche Bedrohungen, der Erschwernis der Ausnutzung von Schwachstellen in Betriebssystemkomponenten und der Erhöhung der Isolation von Containern. Container werden mithilfe der Standardmechanismen des Linux-Kernels – cgroups, Namensräume und seccomp – erstellt. Für zusätzliche Isolation wird im Distribution SELinux im Modus „enforcing“ eingesetzt.

Die Wurzelpartition wird im Nur-Lese-Modus eingehängt, während die Konfigurationspartition /etc in tmpfs eingebunden wird und ihren Ursprungszustand nach einem Neustart wiederherstellt. Direkte Änderungen an Dateien im Verzeichnis /etc, wie /etc/resolv.conf und /etc/containerd/config.toml, werden nicht unterstützt – für das dauerhafte Speichern von Einstellungen sollten die API oder separate Container verwendet werden. Für die kryptografische Verifizierung der Integrität der Wurzelpartition wird das Modul dm-verity verwendet, und im Falle eines Versuchs, Daten auf Blockgerätebene zu verändern, wird das System neu gestartet.

Die meisten Systemkomponenten sind in der Programmiersprache Rust geschrieben, die sichere Speicheroperationen ermöglicht und Schwachstellen vermeidet, die durch Zugriffe auf den Speicher nach dessen Freigabe, Dereferenzierung von Nullzeigern und Buffer-Overflow verursacht werden können. Bei der Standardkompilierung werden die Kompilierungsmodi „—enable-default-pie“ und „—enable-default-ssp“ verwendet, um die Zufälligkeit des Adressraums von ausführbaren Dateien (PIE) sowie den Schutz vor Stack-Overflow durch das Einführen von Canary-Werten zu aktivieren. Für Pakete, die in C/C++ geschrieben sind, werden zusätzlich die Flags „-Wall“, „-Werror=format-security“, „-Wp,-D_FORTIFY_SOURCE=2“, „-Wp,-D_GLIBCXX_ASSERTIONS“ und „-fstack-clash-protection“ hinzugefügt.

In der neuen Version:

• Unterstützung für Container-Image-Registry-Spiegel hinzugefügt.
• Die Möglichkeit zur Verwendung von selbstsignierten Zertifikaten wurde hinzugefügt.
• Ein Parameter zur Konfiguration des Hostnamens wurde hinzugefügt.
• Die Version des standardmäßig angebotenen administrativen Containers wurde aktualisiert.
• Die Einstellungen topologyManagerPolicy und topologyManagerScope für kubelet wurden hinzugefügt.
• Unterstützung für die Kernel-Kompression mit dem Algorithmus zstd hinzugefügt.
• Die Möglichkeit, in VMware zu booten, wurde bereitgestellt. virtuelle Maschinen im OVA-Format (Open Virtualization Format).
• Die Version der Distribution aws-k8s-1.21 mit Unterstützung für Kubernetes 1.21 wurde aktualisiert. Die Unterstützung für aws-k8s-1.16 wurde eingestellt.
• Die Versionen der Pakete und Abhängigkeiten für die Sprache Rust wurden aktualisiert.

Quelle: opennet.ru