{"id":100122,"date":"2021-05-08T22:22:43","date_gmt":"2021-05-08T20:22:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-bottlerocket-1-1-distributiva-na-baze-izolirovannyh-kontejnerov"},"modified":"2021-05-08T22:22:43","modified_gmt":"2021-05-08T20:22:43","slug":"vypusk-bottlerocket-1-1-distributiva-na-baze-izolirovannyh-kontejnerov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/vypusk-bottlerocket-1-1-distributiva-na-baze-izolirovannyh-kontejnerov","title":{"rendered":"Lanzamiento de Bottlerocket 1.1, una distribuci\u00f3n basada en contenedores aislados","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Est\u00e1 disponible la versi\u00f3n 1.1.0 del distribuidor Linux Bottlerocket, desarrollado con la participaci\u00f3n de Amazon para el lanzamiento eficiente y seguro de contenedores aislados. Las herramientas y componentes de gesti\u00f3n del distribuidor est\u00e1n escritos en Rust y se distribuyen bajo licencias MIT y Apache 2.0. Se admite la ejecuci\u00f3n de Bottlerocket en cl\u00fasteres de Amazon ECS y AWS EKS Kubernetes, as\u00ed como la creaci\u00f3n de compilaciones y versiones personalizadas que permiten el uso de diversas herramientas de orquestaci\u00f3n y runtime para contenedores. <\/p>\n

La distribuci\u00f3n proporciona una imagen del sistema at\u00f3mica y actualizable autom\u00e1ticamente, que incluye el n\u00facleo de Linux y un entorno de sistema m\u00ednimo, conteniendo solo los componentes necesarios para ejecutar contenedores. En el entorno se utilizan el gestor de sistemas systemd, la biblioteca Glibc, la herramienta de construcci\u00f3n Buildroot, el cargador de arranque GRUB, el configurador de red wicked, el runtime para contenedores aislados containerd, la plataforma de orquestaci\u00f3n de contenedores Kubernetes, el autenticador aws-iam-authenticator y el agente de Amazon ECS. <\/p>\n

Las herramientas para la orquestaci\u00f3n de contenedores se suministran en un contenedor de gesti\u00f3n separado, que est\u00e1 habilitado por defecto y se gestiona a trav\u00e9s de la API y AWS SSM Agent. La imagen base no incluye un int\u00e9rprete de comandos. servidor<\/a> SSH y lenguajes interpretados (como Python o Perl) \u2014 las herramientas para el administrador y las herramientas de depuraci\u00f3n se han trasladado a un contenedor de servicio separado, que por defecto est\u00e1 deshabilitado. <\/p>\n

La principal diferencia con distribuciones similares, como Fedora CoreOS, CentOS\/Red Hat Atomic Host, es la orientaci\u00f3n fundamental hacia la m\u00e1xima seguridad en el contexto de mejorar la protecci\u00f3n del sistema contra posibles amenazas, complicar la explotaci\u00f3n de vulnerabilidades en los componentes del SO y aumentar la aislamiento de los contenedores. Los contenedores se crean utilizando mecanismos del n\u00facleo de Linux \u2014 cgroups, espacios de nombres y seccomp. Para una mayor aislamiento, se aplica SELinux en modo 'enforcing'. <\/p>\n

La partici\u00f3n ra\u00edz se monta en modo solo lectura, mientras que la partici\u00f3n de configuraci\u00f3n \/etc se monta en tmpfs y restaura su estado original tras un reinicio. No se admite la modificaci\u00f3n directa de archivos en el directorio \/etc, como \/etc\/resolv.conf y \/etc\/containerd\/config.toml; para guardar configuraciones de forma permanente, se debe utilizar la API o trasladar funcionalidades a contenedores separados. Para la verificaci\u00f3n criptogr\u00e1fica de la integridad de la partici\u00f3n ra\u00edz, se utiliza el m\u00f3dulo dm-verity, y en caso de detectar un intento de modificaci\u00f3n de datos a nivel de dispositivo de bloque, el sistema se reinicia. <\/p>\n

La mayor\u00eda de los componentes del sistema est\u00e1n escritos en Rust, que proporciona medios para un manejo seguro de la memoria, evitando vulnerabilidades provocadas por accesos a \u00e1reas de memoria despu\u00e9s de su liberaci\u00f3n, desreferencias de punteros nulos y desbordamientos de b\u00fafer. Por defecto, se aplican los modos de compilaci\u00f3n '--enable-default-pie' y '--enable-default-ssp' para habilitar la aleatorizaci\u00f3n del espacio de direcciones de los archivos ejecutables (PIE) y la protecci\u00f3n contra desbordamientos de pila mediante sustituci\u00f3n de etiquetas canarias. Para paquetes escritos en C\/C++, se incluyen adicionalmente las banderas '-Wall', '-Werror=format-security', '-Wp,-D_FORTIFY_SOURCE=2', '-Wp,-D_GLIBCXX_ASSERTIONS' y '-fstack-clash-protection'. <\/p>\n

En esta nueva versi\u00f3n: <\/p>\n