{"id":101560,"date":"2021-10-07T10:23:00","date_gmt":"2021-10-07T08:23:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-bottlerocket-1-3-distributiva-na-baze-izolirovannyh-kontejnerov"},"modified":"2021-10-07T10:23:00","modified_gmt":"2021-10-07T08:23:00","slug":"vypusk-bottlerocket-1-3-distributiva-na-baze-izolirovannyh-kontejnerov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/vypusk-bottlerocket-1-3-distributiva-na-baze-izolirovannyh-kontejnerov","title":{"rendered":"Ver\u00f6ffentlichung von Bottlerocket 1.3, einer Distribution, die auf isolierten Containern basiert","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Die Version 1.3.0 des Linux-Distributions Bottlerocket wurde ver\u00f6ffentlicht, die in Zusammenarbeit mit Amazon entwickelt wurde, um isolierte Container effizient und sicher zu starten. Die Werkzeuge und Verwaltungsbestandteile der Distribution sind in Rust geschrieben und werden unter den Lizenzen MIT und Apache 2.0 vertrieben. Bottlerocket unterst\u00fctzt den Betrieb in Amazon ECS-Clustern, VMware und AWS EKS Kubernetes sowie die Erstellung beliebiger Builds und Editionen, die verschiedene Orchestrierungs- und Runtime-Tools f\u00fcr Container erm\u00f6glichen. <\/p>\n

Die Distribution bietet ein atomar und automatisch aktualisiertes, unteilbares Systemabbild, das einen Linux-Kernel und eine minimale Systemumgebung umfasst, die nur die f\u00fcr den Betrieb von Containern erforderlichen Komponenten enth\u00e4lt. In der Umgebung sind der Systemmanager systemd, die Bibliothek Glibc, das Build-Werkzeug Buildroot, der Bootloader GRUB, der Netzwerk-Konfigurator wicked, das Runtime f\u00fcr isolierte Container containerd, die Container-Orchestrierungsplattform Kubernetes, der Authenticator aws-iam-authenticator und der Amazon ECS-Agent integriert. <\/p>\n

Die Werkzeuge zur Orchestrierung von Containern werden in einem separaten Verwaltungs-Container bereitgestellt, der standardm\u00e4\u00dfig aktiviert ist und \u00fcber die API und den AWS SSM Agent verwaltet wird. In dem Basisabbild fehlt eine Kommandozeile. Server<\/a> SSH und interpretierte Sprachen (z. B. kein Python oder Perl) \u2014 die Verwaltungs- und Debugging-Werkzeuge wurden in einen separaten Dienstcontainer ausgelagert, der standardm\u00e4\u00dfig deaktiviert ist. <\/p>\n

Das Hauptunterscheidungsmerkmal gegen\u00fcber \u00e4hnlichen Distributionen wie Fedora CoreOS, CentOS\/Red Hat Atomic Host ist die prim\u00e4re Ausrichtung auf die Bereitstellung maximaler Sicherheit im Kontext der St\u00e4rkung des Schutzes des Systems gegen potenzielle Bedrohungen, die Erschwerung der Ausnutzung von Schwachstellen in den Betriebssystemkomponenten und die Erh\u00f6hung der Isolation von Containern. Container werden unter Verwendung der eingebauten Mechanismen des Linux-Kernels \u2014 cgroups, Namespaces und seccomp \u2014 erstellt. F\u00fcr zus\u00e4tzliche Isolation wird in der Distribution SELinux im Modus \u201eenforcing\u201c verwendet. <\/p>\n

Der Stammabschnitt wird im Nur-Lese-Modus montiert, w\u00e4hrend der Abschnitt mit den Einstellungen \/etc im tmpfs montiert wird und den urspr\u00fcnglichen Zustand nach einem Neustart wiederherstellt. Direktes \u00c4ndern von Dateien im Verzeichnis \/etc, wie z.B. \/etc\/resolv.conf und \/etc\/containerd\/config.toml, wird nicht unterst\u00fctzt \u2014 zur dauerhaften Speicherung der Einstellungen sollten die API oder die Auslagerung der Funktionalit\u00e4t in separate Container verwendet werden. F\u00fcr die kryptografische \u00dcberpr\u00fcfung der Integrit\u00e4t des Stammabschnitts wird das Modul dm-verity verwendet, und im Falle eines Versuchs, Daten auf Blockger\u00e4tebene zu modifizieren, wird das System neu gestartet. <\/p>\n

Die meisten Systemkomponenten sind in der Programmiersprache Rust geschrieben, die Mittel f\u00fcr die sichere Arbeit mit Speicher bereitstellt, um Schwachstellen zu vermeiden, die durch den Zugriff auf den Speicherbereich nach dessen Freigabe, Dereferenzierung von Nullzeigern und Puffer\u00fcberl\u00e4ufen verursacht werden. Bei der Standardkompilierung werden die Kompilierungsmodi \u201e--enable-default-pie\u201c und \u201e--enable-default-ssp\u201c verwendet, um die Adressraumrandomisierung ausf\u00fchrbarer Dateien (PIE) und den Schutz vor Stack-Overflow durch die Verwendung von Canary-Werten zu aktivieren. F\u00fcr Pakete, die in C\/C++ geschrieben sind, werden zus\u00e4tzlich die Flags \u201e-Wall\u201c, \u201e-Werror=format-security\u201c, \u201e-Wp,-D_FORTIFY_SOURCE=2\u201c, \u201e-Wp,-D_GLIBCXX_ASSERTIONS\u201c und \u201e-fstack-clash-protection\u201c aktiviert. <\/p>\n

In der neuen Version: <\/p>\n