{"id":100122,"date":"2021-05-08T22:22:43","date_gmt":"2021-05-08T20:22:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-bottlerocket-1-1-distributiva-na-baze-izolirovannyh-kontejnerov"},"modified":"2021-05-08T22:22:43","modified_gmt":"2021-05-08T20:22:43","slug":"vypusk-bottlerocket-1-1-distributiva-na-baze-izolirovannyh-kontejnerov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/vypusk-bottlerocket-1-1-distributiva-na-baze-izolirovannyh-kontejnerov","title":{"rendered":"Ver\u00f6ffentlichung von Bottlerocket 1.1, einer Distribution basierend auf isolierten Containern","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Die Version 1.1.0 der Linux-Distribution Bottlerocket ist verf\u00fcgbar, die mit Unterst\u00fctzung von Amazon entwickelt wurde, um isolierte Container effizient und sicher zu betreiben. Die Werkzeuge und Verwaltungs Komponenten der Distribution sind in Rust geschrieben und stehen unter den Lizenzen MIT und Apache 2.0 zur Verf\u00fcgung. Bottlerocket wird in Amazon ECS- und AWS EKS Kubernetes-Clustern unterst\u00fctzt und erm\u00f6glicht die Erstellung beliebiger Builds und Editionen, die die Nutzung verschiedener Orchestrierungswerkzeuge und Laufzeiten f\u00fcr Container zulassen. <\/p>\n

Die Distribution bietet ein atomar und automatisch aktualisiertes, unteilbares Systemabbild, das einen Linux-Kernel und eine minimale Systemumgebung umfasst, die nur die f\u00fcr den Betrieb von Containern erforderlichen Komponenten enth\u00e4lt. In der Umgebung sind der Systemmanager systemd, die Bibliothek Glibc, das Build-Werkzeug Buildroot, der Bootloader GRUB, der Netzwerk-Konfigurator wicked, das Runtime f\u00fcr isolierte Container containerd, die Container-Orchestrierungsplattform Kubernetes, der Authenticator aws-iam-authenticator und der Amazon ECS-Agent integriert. <\/p>\n

Die Werkzeuge zur Orchestrierung von Containern werden in einem separaten Verwaltungs-Container bereitgestellt, der standardm\u00e4\u00dfig aktiviert ist und \u00fcber die API und den AWS SSM Agent verwaltet wird. In dem Basisabbild fehlt eine Kommandozeile. Server<\/a> SSH und interpretierte Sprachen (z. B. kein Python oder Perl) \u2014 die Verwaltungs- und Debugging-Werkzeuge wurden in einen separaten Dienstcontainer ausgelagert, der standardm\u00e4\u00dfig deaktiviert ist. <\/p>\n

Das Hauptunterscheidungsmerkmal gegen\u00fcber \u00e4hnlichen Distributionen wie Fedora CoreOS, CentOS\/Red Hat Atomic Host ist die prim\u00e4re Ausrichtung auf die Bereitstellung maximaler Sicherheit im Kontext der St\u00e4rkung des Schutzes des Systems gegen potenzielle Bedrohungen, die Erschwerung der Ausnutzung von Schwachstellen in den Betriebssystemkomponenten und die Erh\u00f6hung der Isolation von Containern. Container werden unter Verwendung der eingebauten Mechanismen des Linux-Kernels \u2014 cgroups, Namespaces und seccomp \u2014 erstellt. F\u00fcr zus\u00e4tzliche Isolation wird in der Distribution SELinux im Modus \u201eenforcing\u201c verwendet. <\/p>\n

Der Stammabschnitt wird im Nur-Lese-Modus montiert, w\u00e4hrend der Abschnitt mit den Einstellungen \/etc im tmpfs montiert wird und den urspr\u00fcnglichen Zustand nach einem Neustart wiederherstellt. Direktes \u00c4ndern von Dateien im Verzeichnis \/etc, wie z.B. \/etc\/resolv.conf und \/etc\/containerd\/config.toml, wird nicht unterst\u00fctzt \u2014 zur dauerhaften Speicherung der Einstellungen sollten die API oder die Auslagerung der Funktionalit\u00e4t in separate Container verwendet werden. F\u00fcr die kryptografische \u00dcberpr\u00fcfung der Integrit\u00e4t des Stammabschnitts wird das Modul dm-verity verwendet, und im Falle eines Versuchs, Daten auf Blockger\u00e4tebene zu modifizieren, wird das System neu gestartet. <\/p>\n

Die meisten Systemkomponenten sind in der Programmiersprache Rust geschrieben, die Mittel f\u00fcr die sichere Arbeit mit Speicher bereitstellt, um Schwachstellen zu vermeiden, die durch den Zugriff auf den Speicherbereich nach dessen Freigabe, Dereferenzierung von Nullzeigern und Puffer\u00fcberl\u00e4ufen verursacht werden. Bei der Standardkompilierung werden die Kompilierungsmodi \u201e--enable-default-pie\u201c und \u201e--enable-default-ssp\u201c verwendet, um die Adressraumrandomisierung ausf\u00fchrbarer Dateien (PIE) und den Schutz vor Stack-Overflow durch die Verwendung von Canary-Werten zu aktivieren. F\u00fcr Pakete, die in C\/C++ geschrieben sind, werden zus\u00e4tzlich die Flags \u201e-Wall\u201c, \u201e-Werror=format-security\u201c, \u201e-Wp,-D_FORTIFY_SOURCE=2\u201c, \u201e-Wp,-D_GLIBCXX_ASSERTIONS\u201c und \u201e-fstack-clash-protection\u201c aktiviert. <\/p>\n

In der neuen Version: <\/p>\n