Die Veröffentlichung von Bottlerocket 1.7, einem auf isolierten Containern basierenden Distribution

Die Veröffentlichung der Linux-Distribution Bottlerocket 1.7.0 wurde bekannt gegeben, die mit Unterstützung von Amazon für den effizienten und sicheren Betrieb isolierter Container entwickelt wird. Die Werkzeuge und Verwaltungsbestandteile der Distribution sind in der Programmiersprache Rust geschrieben und unter den Lizenzen MIT und Apache 2.0 erhältlich. Bottlerocket wird in Amazon ECS-Clustern, VMware und AWS EKS Kubernetes unterstützt sowie für die Erstellung beliebiger Builds und Editionen, die den Einsatz verschiedener Orchestrierungs- und Runtime-Tools für Container erlauben.

Die Distribution bietet ein atomar und automatisch aktualisiertes, unteilbares Systemabbild, das einen Linux-Kernel und eine minimale Systemumgebung umfasst, die nur die für den Betrieb von Containern erforderlichen Komponenten enthält. In der Umgebung sind der Systemmanager systemd, die Bibliothek Glibc, das Build-Werkzeug Buildroot, der Bootloader GRUB, der Netzwerk-Konfigurator wicked, das Runtime für isolierte Container containerd, die Container-Orchestrierungsplattform Kubernetes, der Authenticator aws-iam-authenticator und der Amazon ECS-Agent integriert.

Die Werkzeuge zur Orchestrierung von Containern werden in einem separaten Verwaltungs-Container bereitgestellt, der standardmäßig aktiviert ist und über die API und den AWS SSM Agent verwaltet wird. In dem Basisabbild fehlt eine Kommandozeile. Server SSH und interpretierte Sprachen (zum Beispiel, kein Python oder Perl) – Werkzeuge für Administratoren und Debugging-Tools sind in einen separaten Dienstcontainer ausgegliedert, der standardmäßig deaktiviert ist.

Das Hauptmerkmal im Vergleich zu ähnlichen Distributionen wie Fedora CoreOS, CentOS/Red Hat Atomic Host ist die primäre Ausrichtung auf maximale Sicherheit im Kontext der Verstärkung des Schutzes des Systems gegen mögliche Bedrohungen, der Erschwernis der Ausnutzung von Schwachstellen in Betriebssystemkomponenten und der Erhöhung der Isolation von Containern. Container werden mithilfe der Standardmechanismen des Linux-Kernels – cgroups, Namensräume und seccomp – erstellt. Für zusätzliche Isolation wird im Distribution SELinux im Modus „enforcing“ eingesetzt.

Die Wurzelpartition wird im Nur-Lese-Modus eingehängt, während die Konfigurationspartition /etc in tmpfs eingebunden wird und ihren Ursprungszustand nach einem Neustart wiederherstellt. Direkte Änderungen an Dateien im Verzeichnis /etc, wie /etc/resolv.conf und /etc/containerd/config.toml, werden nicht unterstützt – für das dauerhafte Speichern von Einstellungen sollten die API oder separate Container verwendet werden. Für die kryptografische Verifizierung der Integrität der Wurzelpartition wird das Modul dm-verity verwendet, und im Falle eines Versuchs, Daten auf Blockgerätebene zu verändern, wird das System neu gestartet.

Die meisten Systemkomponenten sind in der Programmiersprache Rust geschrieben, die sichere Speicheroperationen ermöglicht und Schwachstellen vermeidet, die durch Zugriffe auf den Speicher nach dessen Freigabe, Dereferenzierung von Nullzeigern und Buffer-Overflow verursacht werden können. Bei der Standardkompilierung werden die Kompilierungsmodi „—enable-default-pie“ und „—enable-default-ssp“ verwendet, um die Zufälligkeit des Adressraums von ausführbaren Dateien (PIE) sowie den Schutz vor Stack-Overflow durch das Einführen von Canary-Werten zu aktivieren. Für Pakete, die in C/C++ geschrieben sind, werden zusätzlich die Flags „-Wall“, „-Werror=format-security“, „-Wp,-D_FORTIFY_SOURCE=2“, „-Wp,-D_GLIBCXX_ASSERTIONS“ und „-fstack-clash-protection“ hinzugefügt.

In der neuen Version:

• Bei der Installation von RPM-Paketen wird eine Liste der Programme im JSON-Format generiert und im Host-Container als Datei /var/lib/bottlerocket/inventory/application.json montiert, um Informationen über verfügbare Pakete zu erhalten.
• Die Container „admin“ und „control“ wurden aktualisiert.
• Die Versionen der Pakete und Abhängigkeiten für die Programmiersprachen Go und Rust wurden aktualisiert.
• Die Versionen der Pakete mit Drittanbieter-Software wurden aktualisiert.
• Probleme mit der Konfiguration von tmpfilesd für kmod-5.10-nvidia wurden behoben.
• Bei der Installation von tuftool wurde die Bindung der Versionsabhängigkeiten sichergestellt.

Quelle: opennet.ru