Microsoft hat die erste stabile Version des CBL-Mariner 1.0 (Common Base Linux Mariner) veröffentlicht. CBL-Mariner entwickelt sich zu einer universellen Basisplattform für Linux-Umgebungen, die in Cloud-Infrastrukturen, Edge-Systemen und verschiedenen Microsoft-Diensten eingesetzt werden. Das Projekt zielt darauf ab, die in Microsoft verwendeten Linux-Lösungen zu vereinheitlichen und die Wartung von Linux-Systemen für unterschiedliche Anwendungen zu erleichtern. Die Ergebnisse des Projekts werden unter der MIT-Lizenz veröffentlicht.
Die Distribution bietet ein kleines Standardset grundlegender Pakete, das als universelle Basis für die Erstellung von Container-Inhalten, Host-Umgebungen und Diensten dient, die in Cloud-Infrastrukturen und auf Edge-Geräten ausgeführt werden. Komplexere und spezialisierte Lösungen können durch Hinzufügen zusätzlicher Pakete auf CBL-Mariner erstellt werden, wobei die Grundlage für alle derartigen Systeme unverändert bleibt, was die Wartung und Vorbereitung von Updates vereinfacht.
CBL-Mariner dient beispielsweise als Grundlage für eine Mini-Distribution von WSLg, die die Komponenten des Grafikstacks bereitstellt, um Linux-GUI-Anwendungen in Umgebungen der WSL2 (Windows Subsystem for Linux) auszuführen. Die Basis dieser Distribution bleibt unverändert, während erweiterte Funktionen durch die Einbeziehung zusätzlicher Pakete realisiert werden. dem Server durch Weston, XWayland, PulseAudio und FreeRDP.
Das Build-System von CBL-Mariner ermöglicht die Erstellung sowohl einzelner RPM-Pakete auf Basis von SPEC-Dateien und Quelltexten als auch monolithischer Systemabbilder, die mithilfe des rpm-ostree-Tools generiert und atomar aktualisiert werden, ohne sie in separate Pakete zu unterteilen. Somit werden zwei Aktualisierungsmodelle unterstützt: über die Aktualisierung einzelner Pakete und durch den Neubau und die Aktualisierung des gesamten Systemabbilds. Die Distribution enthält nur die notwendigsten Komponenten und ist für minimalen Speicher- und Festplattenspeicherbedarf sowie für eine hohe Startgeschwindigkeit optimiert. Zudem zeichnet sich die Distribution durch die Einbeziehung verschiedener zusätzlicher Mechanismen zur Erhöhung der Sicherheit aus.
Im Projekt wird der Ansatz "maximale Sicherheit als Standard" verfolgt. Es besteht die Möglichkeit, Systemaufrufe mithilfe des seccomp-Mechanismus zu filtern, Festplattenteile zu verschlüsseln und Pakete anhand digitaler Signaturen zu überprüfen. Während des Build-Prozesses sind standardmäßig Schutzmechanismen gegen Stack-Overflow, Buffer-Overflows und Formatierungsprobleme (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro) aktiviert. Unterstützte Randomisierungsmodi des Adressraums im Linux-Kernel sowie Mechanismen zum Schutz vor Angriffen, die mit symbolischen Links, mmap, /dev/mem und /dev/kmem verbunden sind, sind aktiviert. Für Speicherbereiche, in denen Segmente mit Daten des Kernels und Modulen untergebracht sind, ist der Modus „nur lesen“ gesetzt und die Ausführung von Code ist untersagt. Optional besteht die Möglichkeit, das Laden von Kernelmodulen nach der Systeminitialisierung zu verbieten. Zur Filterung von Netzwerkpaketen wird das Toolset iptables verwendet.
Готовые ISO-образы не предоставляются. Подразумевается, что пользователь может сам создать образ с необходимой начинкой (cборочные инструкции предоставлены для Ubuntu 18.04). Доступен репозиторий с уже собранными RPM-пакетами, который можно использовать для компоновки собственных образов на основе файла конфигурации. В репозитории предложено около 3300 пакетов. Например, для сборки полного iso-образа достаточно выполнить: git clone https://github.com/microsoft/CBL-Mariner.git cd CBL-Mariner/toolkit sudo make iso REBUILD_TOOLS=y REBUILD_PACKAGES=n CONFIG_FILE=./imageconfigs/full.json
Für die Verwaltung von Services und der Systemlast wird der Systemmanager systemd verwendet. Für die Paketverwaltung stehen die Paketmanager RPM und DNF (eine Variante von tdnf von vmWare) zur Verfügung. Der SSH-Server ist standardmäßig nicht aktiviert. Zur Installation des Distributionspakets wird ein Installer bereitgestellt, der sowohl im Text- als auch im Grafikmodus arbeiten kann. Der Installer bietet die Möglichkeit, mit einem vollständigen oder minimalen Paketset zu installieren, und bietet eine Schnittstelle zur Auswahl der Partition, zur Benennung des Hosts und zur Erstellung von Benutzern.
Quelle: opennet.ru
