{"id":94205,"date":"2020-09-13T19:42:49","date_gmt":"2020-09-13T17:42:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/vyshel-minimalistichnyj-linux-distributiv-bottlerocket-dlya-zapuska-kontejnerov-samoe-glavnoe-o-nyom"},"modified":"2020-09-13T19:42:49","modified_gmt":"2020-09-13T17:42:49","slug":"vyshel-minimalistichnyj-linux-distributiv-bottlerocket-dlya-zapuska-kontejnerov-samoe-glavnoe-o-nyom","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/vyshel-minimalistichnyj-linux-distributiv-bottlerocket-dlya-zapuska-kontejnerov-samoe-glavnoe-o-nyom","title":{"rendered":"Ein minimalistisches Linux-Distrubution Bottlerocket f\u00fcr die Ausf\u00fchrung von Containern ist erschienen. Das Wichtigste dar\u00fcber.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Ein
\n
\nDas Unternehmen Amazon k\u00fcndigte an<\/a><\/noindex> \u00fcber die endg\u00fcltige Ver\u00f6ffentlichung Bottlerocket<\/a><\/noindex> \u2014 ein spezialisierter Distribution zum Starten von Containern und deren effizienter Verwaltung.<\/p>\n

Bottlerocket (\u00fcbrigens so werden kleine selbstgebaute Raketen mit Rauchpulver genannt) ist nicht das erste Betriebssystem f\u00fcr Container, aber es k\u00f6nnte durchaus weit verbreitet werden, dank der standardm\u00e4\u00dfigen Integration mit AWS-Diensten. Obwohl das System auf die Cloud von Amazon ausgerichtet ist, erm\u00f6glicht der offene Quellcode, es \u00fcberall zusammenzustellen: lokal auf einem Server, auf einem Raspberry Pi, in jeder konkurrierenden Cloud und sogar in einer Umgebung ohne Container.<\/p>\n

Es ist ein durchaus w\u00fcrdiger Ersatz f\u00fcr die Distribution CoreOS, die von Red Hat beerdigt wurde.
\n<\/a><\/noindex>
\nDas Amazon-Webdiensteinheit hat bereits Amazon Linux, das k\u00fcrzlich in der zweiten Version erschienen ist: dies ist eine allgemeine Distribution, die in einem Docker-Container oder mit Linux KVM, Microsoft Hyper-V und VMware ESXi Virtualisierern gestartet werden kann. Es wurde optimiert, um in der AWS-Cloud zu arbeiten, aber mit dem Erscheinen von Bottlerocket wird allen empfohlen, ein Upgrade auf das neue System durchzuf\u00fchren, das sicherer, moderner und ressourcenschonender ist.<\/p>\n

AWS k\u00fcndigte Bottlerocket an im M\u00e4rz 2020<\/a><\/noindex>. Es erkannte sofort, dass dies nicht das erste \"Linux f\u00fcr Container\" ist und erw\u00e4hnte CoreOS, Rancher OS und Project Atomic als Inspirationsquellen. Die Entwickler schrieben, dass das Betriebssystem das \"Ergebnis von Lektionen ist, die wir \u00fcber lange Zeitr\u00e4ume im Betrieb von Produktionsdiensten im Ma\u00dfstab von Amazon gelernt haben, und unter Ber\u00fccksichtigung der Erfahrungen, die wir in den letzten sechs Jahren beim Starten von Containern gemacht haben.\"<\/p>\n

Extrem minimalistisch<\/h1>\n

\nLinux ist von allem befreit, was nicht f\u00fcr den Start von Containern erforderlich ist. Ein solches Design verkleinert, laut dem Unternehmen, die Angriffsoberfl\u00e4che.<\/p>\n

Das bedeutet, dass in der Basissystem weniger Pakete installiert werden, was die Unterst\u00fctzung und Aktualisierung des Betriebssystems vereinfacht und die Wahrscheinlichkeit von Problemen durch Abh\u00e4ngigkeiten verringert sowie den Ressourcenverbrauch senkt. Im Prinzip l\u00e4uft hier alles innerhalb einzelner Container, w\u00e4hrend das Basissystem fast nackig ist.<\/p>\n

Amazon hat auch alle Shells und Interpreter entfernt, um das Risiko ihrer Nutzung oder einen versehentlichen Privilegienverlust der Benutzer auszuschlie\u00dfen. Im Basis-Image fehlt aus Gr\u00fcnden des Minimalismus und der Sicherheit eine Kommandozeile, ein SSH-Server und interpretierte Sprachen wie Python. Administratorwerkzeuge werden in einen separaten Dienstcontainer ausgelagert, der standardm\u00e4\u00dfig deaktiviert ist.<\/p>\n

Die Systemverwaltung erfolgt auf zwei Arten: \u00fcber API und Orchestrierung.<\/p>\n

Statt eines Paketmanagers, der einzelne Softwarekomponenten aktualisiert, l\u00e4dt Bottlerocket das vollst\u00e4ndige Image des Dateisystems herunter und startet neu. Bei einem Bootfehler wird automatisch zur\u00fcckgerollt, und ein Fehler bei der Arbeitslast kann manuell einen Rollback ausl\u00f6sen (Befehl \u00fcber API).<\/p>\n

Framework TUF<\/a><\/noindex> (The Update Framework) l\u00e4dt Updates basierend auf Images in alternative oder \"unmontierte\" Partitionen. F\u00fcr das System stehen zwei Partitionen zur Verf\u00fcgung, von denen eine das aktive System enth\u00e4lt, w\u00e4hrend das Update auf die zweite kopiert wird. Dabei wird die Root-Partition im Nur-Lese-Modus gemountet, w\u00e4hrend die Partition \/etc<\/code> im RAM-Dateisystem gemountet wird tmpfs<\/a><\/noindex> und stellt den Ursprungszustand nach einem Neustart wieder her. Direkte \u00c4nderungen an den Konfigurationsdateien in \/etc<\/code> werden nicht unterst\u00fctzt: Um die Einstellungen zu speichern, sollten API oder separate Container genutzt werden.<\/p>\n

\"Ein
\nDas Aktualisierungsschema \u00fcber API<\/i><\/p>\n

Sicherheit<\/h1>\n

\nContainer werden mit den nativen Mechanismen des Linux-Kernels \u2014 cgroups, Namespaces und seccomp \u2014 erstellt, w\u00e4hrend f\u00fcr zus\u00e4tzliche Isolation ein System zur erzwungenen Zugangskontrolle verwendet wird, das SELinux<\/a><\/noindex> im Modus "enforcing".<\/p>\n

Standardm\u00e4\u00dfig sind Richtlinien zur Ressourcenteilung zwischen Containern und Kernel aktiviert. Bin\u00e4rdateien sind durch Flags gesch\u00fctzt, sodass Benutzer oder Programme sie nicht ausf\u00fchren k\u00f6nnen. Und wenn jemand Zugriff auf das Dateisystem erhalten hat, bietet Bottlerocket ein Werkzeug zur \u00dcberpr\u00fcfung und Nachverfolgung aller vorgenommenen \u00c4nderungen.<\/p>\n

Der \"Secure Boot\"-Modus wird \u00fcber die Funktion device-mapper-verity implementiert (dm-verity<\/a><\/noindex>), die die Integrit\u00e4t der Root-Partition beim Booten \u00fcberpr\u00fcft. AWS beschreibt dm-verity als \u201eeine Linux-Kernel-Funktion zur Gew\u00e4hrleistung der Integrit\u00e4t, um die Ausf\u00fchrung von Schadsoftware im Betriebssystem zu verhindern, wie beispielsweise das \u00dcberschreiben der urspr\u00fcnglichen Systemsoftware\u201c.<\/p>\n

Es gibt auch einen Filter im System eBPF<\/a><\/noindex> (erweitertes BPF, Entwicklung von Alexey Starovoitov<\/a><\/noindex>), der es erm\u00f6glicht, Kernelmodule durch sicherere BPF-Programme f\u00fcr Low-Level-Systemoperationen zu ersetzen.<\/p>\n

Ausf\u00fchrungsmodell
\nBenutzerspezifiziert
\nKompilation
\nSicherheit
\nFehlermodus
\nZugriff auf Ressourcen<\/p>\n

Benutzer<\/b>
\nAufgabe
\nja
\njede
\nBenutzerrechte
\nAusf\u00fchrungsunterbrechung
\nSystemaufruf, Fehler<\/p>\n

Kern<\/b>
\nAufgabe
\nnein
\nstatisch
\nnein
\nKernel-Panik
\ndirekt<\/p>\n

BPF<\/b>
\nEreignis
\nja
\nJIT, CO-RE
\nVerifizierung, JIT
\nFehlermeldung
\neingeschr\u00e4nkte Helfer<\/p>\n

\nDer Unterschied zwischen BPF und normalem Benutzer- oder Kernelcode, Quelle<\/a><\/noindex><\/i><\/p>\n

AWS erkl\u00e4rte, dass Bottlerocket \u201eein Betriebsmodell implementiert, das die Sicherheit weiter erh\u00f6ht, indem es eine Verbindung zu Produktionsservern mit Administratorrechten verhindert\u201c und \u201esich f\u00fcr gro\u00dfe verteilte Systeme eignet, in denen die Kontrolle \u00fcber jeden einzelnen Host eingeschr\u00e4nkt ist\u201c.<\/p>\n

F\u00fcr Systemadministratoren gibt es einen Admin-Container. AWS glaubt jedoch nicht, dass Administratoren h\u00e4ufig innerhalb von Bottlerocket arbeiten m\u00fcssen: \u201eDer Zugang zu einer einzelnen Bottlerocket-Instanz ist f\u00fcr seltene Operationen gedacht: erweiterte Fehlerbehebung und Debugging\u201c, \u2014 schreiben<\/a><\/noindex> die Entwickler.<\/p>\n

Die Sprache Rust<\/h1>\n

\nDas Betriebssystem-Toolkit \u00fcber dem Kernel ist haupts\u00e4chlich in Rust geschrieben. Diese Sprache verringert von Natur aus die Wahrscheinlichkeit unsicheren Zugriffs auf den Speicher<\/a><\/noindex>, sowie beseitigt Race Conditions zwischen Threads<\/a><\/noindex>.<\/p>\n

Bei der Standardkompilierung werden die Flags angewendet --enable-default-pie<\/code> und --enable-default-ssp<\/code> um die Randomisierung des Adressraums ausf\u00fchrbarer Dateien zu aktivieren (positionsunabh\u00e4ngige ausf\u00fchrbare Dateien<\/a><\/noindex>, PIE) und um Stau\u00fcberl\u00e4ufe zu sch\u00fctzen.<\/p>\n

F\u00fcr C\/C++-Pakete werden zus\u00e4tzlich die Flags -Wall<\/code>, -Werror=format-security<\/code>, -Wp,-D_FORTIFY_SOURCE=2<\/code>, -Wp,-D_GLIBCXX_ASSERTIONS<\/code> und -fstack-clash-protection<\/code>.<\/p>\n

Neben Rust und C\/C++ sind einige Pakete in Go geschrieben.<\/p>\n

Integration mit AWS-Diensten<\/h1>\n

\nDer Unterschied zu \u00e4hnlichen container-basierten Betriebssystemen liegt darin, dass Amazon Bottlerocket f\u00fcr die Nutzung auf AWS und die Integration mit anderen AWS-Diensten optimiert hat.<\/p>\n

Der beliebteste Container-Orchestrator ist Kubernetes, weshalb AWS die Integration mit ihrem eigenen Enterprise Kubernetes Service (EKS) eingef\u00fchrt hat. Die Orchestrierungswerkzeuge sind in einem separaten Steuercontainer enthalten. bottlerocket-control-container<\/a><\/noindex>, der standardm\u00e4\u00dfig aktiviert ist und \u00fcber die API sowie den AWS SSM Agent verwaltet wird.<\/p>\n

Es wird interessant sein zu beobachten, ob Bottlerocket erfolgreich sein wird, insbesondere angesichts des Scheiterns einiger \u00e4hnlicher Initiativen in der Vergangenheit. Zum Beispiel war PhotonOS von Vmware unbeliebt, und RedHat kaufte CoreOS und stellte das Projekt ein<\/a><\/noindex>, das als Pionier auf diesem Gebiet galt.<\/p>\n

Die Integration von Bottlerocket in die AWS-Dienste macht dieses System einzigartig. M\u00f6glicherweise ist dies der Hauptgrund, warum einige Benutzer Bottlerocket anderen Distributionen wie CoreOS oder Alpine vorziehen k\u00f6nnten. Das System wurde urspr\u00fcnglich f\u00fcr die Arbeit mit EKS und ECS entwickelt, aber um es zu wiederholen, das ist nicht zwingend erforderlich. Erstens kann Bottlerocket selbst zusammenstellen<\/a><\/noindex> auch als gehostete L\u00f6sung genutzt werden. Zweitens behalten EKS- und ECS-Benutzer weiterhin die Wahl des Betriebssystems.<\/p>\n

Der Quellcode von Bottlerocket ist unter der Lizenz Apache 2.0 auf GitHub ver\u00f6ffentlicht. Die Entwickler reagieren bereits auf Fehlerberichte und Feature-Anfragen<\/a><\/noindex>.<\/p>\n

<\/p>\n

Als Werbung<\/h4>\n

\nVDSina<\/b> bietet VDS mit t\u00e4glicher Abrechnung<\/a><\/noindex>. Es ist m\u00f6glich, jedes Betriebssystem zu installieren, auch aus eigenem Image. Jeder Server ist mit einem Internetkanal von 500 Megabit verbunden und kostenlos gegen DDoS-Angriffe gesch\u00fctzt! <\/p>\n

\"Ein<\/a><\/noindex>
\n
Quelle: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Amazon \u043e\u0431\u044a\u044f\u0432\u0438\u043b\u0430 \u043e \u0444\u0438\u043d\u0430\u043b\u044c\u043d\u043e\u043c \u0440\u0435\u043b\u0438\u0437\u0435 Bottlerocket \u2014 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u0434\u0438\u0441\u0442\u0440\u0438\u0431\u0443\u0442\u0438\u0432\u0430 \u0434\u043b\u044f \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u043e\u0432 \u0438 \u044d\u0444\u0444\u0435\u043a\u0442\u0438\u0432\u043d\u043e\u0433\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0438\u043c\u0438. Bottlerocket (\u043a\u0441\u0442\u0430\u0442\u0438, \u0442\u0430\u043a \u043d\u0430\u0437\u044b\u0432\u0430\u044e\u0442 \u043c\u0435\u043b\u043a\u0438\u0435 \u0441\u0430\u043c\u043e\u0434\u0435\u043b\u044c\u043d\u044b\u0435 \u0440\u0430\u043a\u0435\u0442\u044b \u043d\u0430 \u0434\u044b\u043c\u043d\u043e\u043c \u043f\u043e\u0440\u043e\u0445\u0435) \u2014 \u043d\u0435 \u043f\u0435\u0440\u0432\u0430\u044f \u041e\u0421 \u0434\u043b\u044f \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u043e\u0432, \u043d\u043e \u0432\u043f\u043e\u043b\u043d\u0435 \u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e, \u0447\u0442\u043e \u043e\u043d\u0430 \u043f\u043e\u043b\u0443\u0447\u0438\u0442 \u0448\u0438\u0440\u043e\u043a\u043e\u0435 \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u0435 \u0431\u043b\u0430\u0433\u043e\u0434\u0430\u0440\u044f \u0434\u0435\u0444\u043e\u043b\u0442\u043d\u043e\u0439 \u0438\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u0438 \u0441 \u0441\u0435\u0440\u0432\u0438\u0441\u0430\u043c\u0438 AWS. \u0425\u043e\u0442\u044f \u0441\u0438\u0441\u0442\u0435\u043c\u0430 \u043e\u0440\u0438\u0435\u043d\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0430 \u043d\u0430 \u043e\u0431\u043b\u0430\u043a\u043e Amazon, \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u0439 \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u0439 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":94206,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-94205","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Eine minimalistische Linux-Distribution Bottlerocket f\u00fcr den Betrieb von Containern ist erschienen. Das Wichtigste dar\u00fcber | ProHoster","description":"","canonical_url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/vyshel-minimalistichnyj-linux-distributiv-bottlerocket-dlya-zapuska-kontejnerov-samoe-glavnoe-o-nyom","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0412\u044b\u0448\u0435\u043b \u043c\u0438\u043d\u0438\u043c\u0430\u043b\u0438\u0441\u0442\u0438\u0447\u043d\u044b\u0439 Linux-\u0434\u0438\u0441\u0442\u0440\u0438\u0431\u0443\u0442\u0438\u0432 Bottlerocket \u0434\u043b\u044f \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u043e\u0432. \u0421\u0430\u043c\u043e\u0435 \u0433\u043b\u0430\u0432\u043d\u043e\u0435 \u043e \u043d\u0451\u043c | ProHoster","og:url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/vyshel-minimalistichnyj-linux-distributiv-bottlerocket-dlya-zapuska-kontejnerov-samoe-glavnoe-o-nyom","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-09-13T17:42:49+00:00","article:modified_time":"2020-09-13T17:42:49+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"94205","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 11:31:27","updated":"2022-10-03 07:42:47","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/94205","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=94205"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/94205\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media\/94206"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=94205"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=94205"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=94205"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}