La empresa Microsoft ha renombrado la distribución CBL-Mariner a Azure Linux. Anteriormente, el nombre Azure Linux se utilizaba para una construcción especializada instalada en Azure Kubernetes Service (AKS), mientras que la plataforma general para crear distribuciones se desarrolló bajo el nombre CBL-Mariner (Common Base Linux Mariner). Hace unos días, Microsoft cambió el nombre del repositorio CBL-Mariner a azurelinux, modificó los nombres de las utilidades y reemplazó las menciones de CBL-Mariner en la documentación por Azure Linux. Después, se lanzó la primera versión de la plataforma con el nuevo nombre: Azure Linux 2.0.20240301, que ha solucionado errores acumulados y vulnerabilidades en las aplicaciones.
El proyecto tiene como objetivo unificar las soluciones Linux utilizadas en Microsoft y simplificar el mantenimiento de sistemas Linux de diversos usos para mantenerlos actualizados. Entre otras cosas, la distribución se utiliza en infraestructura en la nube, sistemas edge y varios servicios de Microsoft. Los desarrollos del proyecto se distribuyen bajo la licencia MIT. Los paquetes se generan para las arquitecturas aarch64 y x86_64. Se ha preparado una imagen ISO de arranque (860 MB) para la arquitectura x86_64.
La distribución Azure Linux proporciona un pequeño conjunto estándar de paquetes básicos que actúan como una base universal para crear el contenido de contenedores, entornos host y servicios que se ejecutan en infraestructuras en la nube y en dispositivos edge. Las soluciones más complejas y especializadas pueden ser creadas añadiendo paquetes adicionales sobre Azure Linux, pero la base para todos estos sistemas permanece inalterada, lo que simplifica el mantenimiento y la preparación de actualizaciones.
Por ejemplo, Azure Linux se utiliza como base para el mini-distribuidor WSLg, que proporciona componentes de la pila gráfica para permitir la ejecución de aplicaciones GUI de Linux en entornos basados en el subsistema WSL2 (Windows Subsystem for Linux). La funcionalidad ampliada en WSLg se implementa mediante la inclusión de paquetes adicionales con composición. el servidor Weston, XWayland, PulseAudio y FreeRDP.
El sistema de construcción de Azure Linux permite generar tanto paquetes RPM individuales a partir de archivos SPEC y textos fuente, como imágenes del sistema monolíticas, que se crean utilizando la herramienta rpm-ostree y se actualizan de manera atómica sin fragmentarse en paquetes individuales. Por lo tanto, se admiten dos modelos de entrega de actualizaciones: mediante la actualización de paquetes individuales y mediante la reconstrucción y actualización de toda la imagen del sistema. Se dispone de un repositorio que incluye alrededor de 3000 paquetes RPM ya compilados, que se pueden utilizar para componer sus propias imágenes basadas en un archivo de configuración.
La plataforma básica incluye solo los componentes más necesarios y está optimizada para un consumo mínimo de memoria y espacio en disco, así como para una alta velocidad de arranque. El proyecto adopta un enfoque de 'máxima seguridad por defecto', que implica habilitar varios mecanismos adicionales para aumentar la protección:
- Filtración de llamadas al sistema mediante el mecanismo seccomp.
- Cifrado de particiones del disco.
- Verificación de paquetes mediante firma digital.
- Aleatorización del espacio de direcciones.
- Protección contra ataques relacionados con enlaces simbólicos, mmap, /dev/mem y /dev/kmem.
- Modo de solo lectura y prohibición de la ejecución de código en áreas de memoria donde se almacenan segmentos de datos del núcleo y módulos.
- Opción para prohibir la carga de módulos del núcleo después de la inicialización del sistema.
- Uso de iptables para filtrar paquetes de red.
- Inclusión al compilar de modos de protección contra desbordamiento de pila, desbordamientos de búfer y problemas de formateo de cadenas (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro).
Para gestionar los servicios y la carga se utiliza el gestor de sistema systemd. Los gestores de paquetes RPM y DNF se incluyen para la gestión de paquetes. El servidor SSH no está habilitado por defecto. Se proporciona un instalador para la instalación de la distribución, que puede funcionar tanto en modo texto como gráfico. En el instalador, se ofrece la opción de instalar con un conjunto completo o básico de paquetes, así como una interfaz para seleccionar las particiones del disco, elegir el nombre del host y crear usuarios.
Además de los cambios relacionados con CBL-Mariner y Azure Linux, Microsoft también ha presentado una nueva versión de la plataforma Azure Sphere 24.03, construida sobre la base del núcleo Linux y destinada a crear dispositivos de internet de las cosas basados en microcontroladores (MCU, microcontroller unit) energéticamente eficientes con subsistemas periféricos integrados. Una de las características de la plataforma es el subsistema Pluton, diseñado para proporcionar hardware para el cifrado, almacenamiento de claves privadas y ejecución de operaciones criptográficas complejas. Pluton incluye un procesador especializado separado, un motor criptográfico, un generador de números aleatorios de hardware y un almacenamiento aislado de claves.
Fuente: opennet.ru
