{"id":103663,"date":"2022-03-31T15:36:53","date_gmt":"2022-03-31T13:36:53","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-bottlerocket-1-7-distributiva-na-baze-izolirovannyh-kontejnerov"},"modified":"2022-03-31T15:36:53","modified_gmt":"2022-03-31T13:36:53","slug":"vypusk-bottlerocket-1-7-distributiva-na-baze-izolirovannyh-kontejnerov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/vypusk-bottlerocket-1-7-distributiva-na-baze-izolirovannyh-kontejnerov","title":{"rendered":"Die Ver\u00f6ffentlichung von Bottlerocket 1.7, einer Distribution auf Basis isolierter Container","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Die Ver\u00f6ffentlichung der Linux-Distribution Bottlerocket 1.7.0 wurde bekanntgegeben. Diese wird mit Unterst\u00fctzung von Amazon entwickelt und erm\u00f6glicht den effizienten und sicheren Betrieb isolierter Container. Die hierzu verwendeten Werkzeuge und Komponenten sind in Rust geschrieben und werden unter den Lizenzen MIT und Apache 2.0 bereitgestellt. Bottlerocket kann in den Clustern Amazon ECS, VMware und AWS EKS Kubernetes betrieben werden, und es k\u00f6nnen benutzerdefinierte Builds und Versionen erstellt werden, die verschiedene Orchestrierungs- und Runtime-Tools f\u00fcr Container unterst\u00fctzen. <\/p>\n

Die Distribution bietet ein atomar und automatisch aktualisierbares, unteilbares System-Image, das den Linux-Kernel und eine minimale Systemumgebung umfasst, die nur die erforderlichen Komponenten zum Starten von Containern enth\u00e4lt. In der Umgebung kommen der Systemmanager systemd, die Glibc-Bibliothek, das Buildroot-Bausystem, der Bootloader GRUB, der Netzwerk-Configurator wicked, die Runtime f\u00fcr isolierte Container containerd, die Container-Orchestrierungsplattform Kubernetes, der Authenticator aws-iam-authenticator und der Agent von Amazon ECS zum Einsatz. <\/p>\n

Container-Orchestrierungswerkzeuge werden in einem separaten Management-Container bereitgestellt, der standardm\u00e4\u00dfig aktiviert ist und \u00fcber die API und AWS SSM Agent verwaltet wird. Im Basis-Image fehlt eine Kommandozeilen-Schnittstelle. der Server<\/a> SSH und interpretierte Sprachen (z. B. kein Python oder Perl) \u2014 Werkzeuge f\u00fcr Administratoren und Debugging-Tools sind in einen separaten Service-Container ausgelagert, der standardm\u00e4\u00dfig deaktiviert ist. <\/p>\n

Ein wesentliches Unterscheidungsmerkmal zu \u00e4hnlichen Distributionen wie Fedora CoreOS, CentOS\/Red Hat Atomic Host ist die prim\u00e4re Ausrichtung auf die Bereitstellung maximaler Sicherheit zur St\u00e4rkung des Schutzes des Systems vor m\u00f6glichen Bedrohungen, der Erschwerung der Ausnutzung von Schwachstellen in den Betriebssystemkomponenten und der Erh\u00f6hung der Isolation der Container. Container werden mittels der integrierten Mechanismen des Linux-Kernels \u2014 cgroups, Namespaces und seccomp \u2014 erstellt. F\u00fcr zus\u00e4tzliche Isolation wird im Distribution SELinux im Modus \u201eenforcing\u201c verwendet. <\/p>\n

Die Root-Partition wird im Nur-Lese-Modus gemountet, w\u00e4hrend die Einstellungspartition \/etc im tmpfs gemountet wird und nach einem Neustart den urspr\u00fcnglichen Zustand wiederherstellt. Direkte \u00c4nderungen an Dateien im Verzeichnis \/etc, wie \/etc\/resolv.conf und \/etc\/containerd\/config.toml, werden nicht unterst\u00fctzt \u2014 f\u00fcr die dauerhafte Speicherung von Einstellungen sollte die API verwendet oder die Funktionalit\u00e4t in separate Container ausgelagert werden. Zur kryptographischen Verifizierung der Integrit\u00e4t der Root-Partition wird das Modul dm-verity eingesetzt, und im Falle eines Erkennens von Modifikationsversuchen auf der Blockger\u00e4tebene wird das System neu gestartet. <\/p>\n

Die meisten Systemkomponenten sind in der Programmiersprache Rust geschrieben, die sichere Speicheroperationen erm\u00f6glicht und so Vulnerabilit\u00e4ten vermeidet, die durch den Zugriff auf freigegebenen Speicher, das Dereferenzieren von Nullzeigern und Puffer\u00fcberl\u00e4ufe entstehen. Beim Standard-Build werden die Compiler-Optionen \u201e--enable-default-pie\u201c und \u201e--enable-default-ssp\u201c verwendet, um die Adressraumrandomisierung f\u00fcr ausf\u00fchrbare Dateien (PIE) und den Schutz vor Stack-\u00dcberl\u00e4ufen durch das Einf\u00fcgen von Canary-Tags zu aktivieren. F\u00fcr in C\/C++ geschriebene Pakete werden zus\u00e4tzlich die Flags \u201e-Wall\u201c, \u201e-Werror=format-security\u201c, \u201e-Wp,-D_FORTIFY_SOURCE=2\u201c, \u201e-Wp,-D_GLIBCXX_ASSERTIONS\u201c und \u201e-fstack-clash-protection\u201c aktiviert. <\/p>\n

In der neuen Version: <\/p>\n