{"id":94205,"date":"2020-09-13T19:42:49","date_gmt":"2020-09-13T17:42:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/vyshel-minimalistichnyj-linux-distributiv-bottlerocket-dlya-zapuska-kontejnerov-samoe-glavnoe-o-nyom"},"modified":"2020-09-13T19:42:49","modified_gmt":"2020-09-13T17:42:49","slug":"vyshel-minimalistichnyj-linux-distributiv-bottlerocket-dlya-zapuska-kontejnerov-samoe-glavnoe-o-nyom","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/vyshel-minimalistichnyj-linux-distributiv-bottlerocket-dlya-zapuska-kontejnerov-samoe-glavnoe-o-nyom","title":{"rendered":"Ha salido una distribuci\u00f3n Linux minimalista llamada Bottlerocket para ejecutar contenedores. Lo m\u00e1s importante sobre ella","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Ha
\n
\nAmazon anunci\u00f3<\/a><\/noindex> sobre el lanzamiento final Bottlerocket<\/a><\/noindex> \u2014 una distribuci\u00f3n especializada para ejecutar contenedores y gestionarlos de manera eficiente.<\/p>\n

Bottlerocket (por cierto, as\u00ed se llaman los peque\u00f1os cohetes caseros de p\u00f3lvora) no es el primer sistema operativo para contenedores, pero es muy probable que gane una amplia adopci\u00f3n gracias a su integraci\u00f3n predeterminada con los servicios de AWS. Aunque el sistema est\u00e1 orientado a la nube de Amazon, su c\u00f3digo abierto permite que se compile en cualquier lugar: localmente en un servidor, en una Raspberry Pi, en cualquier nube competidora e incluso en entornos sin contenedores.<\/p>\n

Es un sustituto bastante digno de la distribuci\u00f3n CoreOS, que fue descontinuada por Red Hat.
\n<\/a><\/noindex>
\nEn general, la divisi\u00f3n de Amazon Web Services ya tiene Amazon Linux, que recientemente lanz\u00f3 su segunda versi\u00f3n: una distribuci\u00f3n de prop\u00f3sito general que se puede ejecutar en un contenedor Docker o con hipervisores de Linux KVM, Microsoft Hyper-V y VMware ESXi. Fue optimizado para trabajar en la nube de AWS, pero con el lanzamiento de Bottlerocket, se recomienda a todos actualizarse al nuevo sistema, que es m\u00e1s seguro, moderno y consume menos recursos.<\/p>\n

AWS anunci\u00f3 Bottlerocket en marzo de 2020<\/a><\/noindex>. Inmediatamente reconoci\u00f3 que no es el primer \"Linux para contenedores\", mencionando como fuentes de inspiraci\u00f3n a CoreOS, Rancher OS y Project Atomic. Los desarrolladores escribieron que el sistema operativo es \"el resultado de las lecciones que hemos aprendido durante mucho tiempo trabajando en servicios en producci\u00f3n a escala de Amazon, y de la experiencia que hemos obtenido en los \u00faltimos seis a\u00f1os sobre c\u00f3mo ejecutar contenedores.\"<\/p>\n

Minimalismo extremo<\/h1>\n

\nLinux est\u00e1 despojado de todo lo que no es necesario para ejecutar contenedores. Este dise\u00f1o, seg\u00fan la empresa, reduce la superficie de ataque.<\/p>\n

Esto significa que en el sistema base se instalan menos paquetes, lo que simplifica el mantenimiento y la actualizaci\u00f3n del sistema operativo, adem\u00e1s de reducir la probabilidad de problemas debido a dependencias y disminuir el uso de recursos. En principio, todo funciona dentro de contenedores separados, y el sistema base es pr\u00e1cticamente desnudo.<\/p>\n

Amazon tambi\u00e9n elimin\u00f3 todas las conchas e int\u00e9rpretes, eliminando el riesgo de su uso o el aumento accidental de privilegios por parte de los usuarios. En la imagen base, por razones de minimalismo y seguridad, no hay shell, servidor SSH ni lenguajes interpretados como Python. Las herramientas para el administrador se han movido a un contenedor de servicio separado, que est\u00e1 desactivado por defecto.<\/p>\n

La gesti\u00f3n del sistema se puede realizar de dos maneras: a trav\u00e9s de la API y la orquestaci\u00f3n.<\/p>\n

En lugar de un gestor de paquetes que actualiza partes individuales del software, Bottlerocket descarga una imagen completa del sistema de archivos y reinicia en ella. En caso de un fallo de arranque, se revierte autom\u00e1ticamente, y un fallo en la carga de trabajo puede iniciar la reversi\u00f3n manualmente (comando a trav\u00e9s de la API).<\/p>\n

Marco de trabajo TUF<\/a><\/noindex> (The Update Framework) descarga actualizaciones basadas en im\u00e1genes en particiones alternativas o \"desmontadas\". Se asignan dos particiones de disco al sistema, una de las cuales contiene el sistema activo, mientras que la segunda copia la actualizaci\u00f3n. En este proceso, la partici\u00f3n ra\u00edz se monta en modo solo lectura, y la partici\u00f3n \/etc<\/code> se monta con un sistema de archivos en la memoria tmpfs<\/a><\/noindex> y restaura el estado original despu\u00e9s del reinicio. No se permite modificar directamente los archivos de configuraci\u00f3n en \/etc<\/code> : para guardar la configuraci\u00f3n, debe utilizarse la API o trasladar la funcionalidad a contenedores separados.<\/p>\n

\"Ha
\nEsquema de actualizaci\u00f3n a trav\u00e9s de la API<\/i><\/p>\n

Seguridad<\/h1>\n

\nLos contenedores se crean mediante mecanismos est\u00e1ndar del n\u00facleo de Linux: cgroups, espacios de nombres y seccomp, y como sistema de control de acceso forzado, es decir, para un aislamiento adicional se utiliza SELinux<\/a><\/noindex> en modo "enforcing".<\/p>\n

Por defecto, se habilitan pol\u00edticas para la separaci\u00f3n de recursos entre contenedores y el n\u00facleo. Los binarios est\u00e1n protegidos con banderas para que los usuarios o programas no puedan ejecutarlos. Y si alguien accede al sistema de archivos, Bottlerocket ofrece una herramienta para verificar y rastrear cualquier cambio realizado.<\/p>\n

El modo de \"arranque verificado\" se implementa a trav\u00e9s de la funci\u00f3n device-mapper-verity (dm-verity<\/a><\/noindex>), que verifica la integridad de la partici\u00f3n ra\u00edz durante el arranque. AWS describe dm-verity como \"una funci\u00f3n del n\u00facleo de Linux que proporciona verificaci\u00f3n de integridad para evitar que malware opere en el sistema operativo, como la reescritura del firmware del sistema base\".<\/p>\n

Tambi\u00e9n hay un filtro en el sistema eBPF<\/a><\/noindex> (BPF extendido, desarrollado por Alexey Starovoitov<\/a><\/noindex>), que permite reemplazar los m\u00f3dulos del n\u00facleo por programas BPF m\u00e1s seguros para operaciones de sistema de bajo nivel.<\/p>\n

Modelo de ejecuci\u00f3n
\nEstablecido por el usuario
\nCompilaci\u00f3n
\nSeguridad
\nModo de fallo
\nAcceso a recursos<\/p>\n

Usuario<\/b>
\ntarea
\ns\u00ed
\ncualquier
\nderechos de usuarios
\ninterrupci\u00f3n de la ejecuci\u00f3n
\nllamada del sistema, fallo<\/p>\n

N\u00facleo<\/b>
\ntarea
\nno
\nest\u00e1tico
\nno
\np\u00e1nico del n\u00facleo
\ndirecto<\/p>\n

BPF<\/b>
\nevento
\ns\u00ed
\nJIT, CO-RE
\nverificaci\u00f3n, JIT
\nmensaje de error
\nayudantes limitados<\/p>\n

\nLa diferencia entre BPF y un c\u00f3digo t\u00edpico de nivel de usuario o n\u00facleo, fuente<\/a><\/noindex><\/i><\/p>\n

AWS afirm\u00f3 que Bottlerocket 'aplica un modelo operativo que mejora a\u00fan m\u00e1s la seguridad, evitando conexi\u00f3n a servidores de producci\u00f3n con privilegios de administrador', y 'es adecuado para grandes sistemas distribuidos con control limitado sobre cada host individual'.<\/p>\n

Para los administradores del sistema, hay un contenedor de administrador. Pero AWS no cree que el administrador necesite trabajar a menudo dentro de Bottlerocket: 'El acto de entrar en una instancia individual de Bottlerocket est\u00e1 destinado a ser poco frecuente: para depuraci\u00f3n avanzada y resoluci\u00f3n de problemas', escriben<\/a><\/noindex> desarrolladores.<\/p>\n

Lenguaje Rust<\/h1>\n

\nLas herramientas del sistema operativo sobre el n\u00facleo est\u00e1n principalmente escritas en Rust. Este lenguaje por naturaleza reduce la probabilidad de acceso no seguro a la memoria<\/a><\/noindex>, as\u00ed como elimina condiciones de carrera entre hilos<\/a><\/noindex>.<\/p>\n

Al compilar por defecto se aplican las banderas --enable-default-pie<\/code> y --enable-default-ssp<\/code> para habilitar la aleatorizaci\u00f3n del espacio de direcciones de archivos ejecutables (ejecutable independiente de la posici\u00f3n<\/a><\/noindex>, PIE) y la protecci\u00f3n contra desbordamientos de pila.<\/p>\n

Para paquetes en C\/C++ tambi\u00e9n se incluyen banderas -Wall<\/code>, -Werror=format-security<\/code>, -Wp,-D_FORTIFY_SOURCE=2<\/code>, -Wp,-D_GLIBCXX_ASSERTIONS<\/code> y -fstack-clash-protection<\/code>.<\/p>\n

Adem\u00e1s de Rust y C\/C++, algunos paquetes est\u00e1n escritos en Go.<\/p>\n

Integraci\u00f3n con servicios de AWS<\/h1>\n

\nLa diferencia con otros sistemas operativos de contenedores es que Amazon optimiz\u00f3 Bottlerocket para funcionar en AWS e integrarse con otros servicios de AWS.<\/p>\n

El orquestador de contenedores m\u00e1s popular es Kubernetes, por lo que AWS implement\u00f3 la integraci\u00f3n con su propio servicio de Kubernetes empresarial (EKS). Las herramientas de orquestaci\u00f3n se encuentran en un contenedor de control separado bottlerocket-control-container<\/a><\/noindex>, que est\u00e1 habilitado por defecto y se gestiona a trav\u00e9s de la API y AWS SSM Agent.<\/p>\n

Ser\u00e1 interesante ver si Bottlerocket despega, considerando el fracaso de algunas iniciativas similares en el pasado. Por ejemplo, PhotonOS de Vmware result\u00f3 ser poco \u00fatil, y RedHat compr\u00f3 CoreOS y cerr\u00f3 el proyecto<\/a><\/noindex>, que se consideraba pionero en este campo.<\/p>\n

La integraci\u00f3n de Bottlerocket en los servicios de AWS hace que este sistema sea \u00fanico en su tipo. Quiz\u00e1s esa sea la principal raz\u00f3n por la que algunos usuarios puedan preferir Bottlerocket a otras distribuciones, como CoreOS o Alpine. El sistema est\u00e1 dise\u00f1ado principalmente para trabajar con EKS y ECS, pero repetimos, esto no es obligatorio. En primer lugar, Bottlerocket se puede construir por uno mismo<\/a><\/noindex> utilizar, por ejemplo, como una soluci\u00f3n alojada. En segundo lugar, los usuarios de EKS y ECS seguir\u00e1n teniendo la opci\u00f3n de elegir el sistema operativo.<\/p>\n

El c\u00f3digo fuente de Bottlerocket se ha publicado en GitHub bajo la licencia Apache 2.0. Los desarrolladores ya est\u00e1n respondiendo a los informes de errores y solicitudes de caracter\u00edsticas<\/a><\/noindex>.<\/p>\n

<\/p>\n

Publicidad<\/h4>\n

\nVDSina<\/b> ofrece VDS con pago diario<\/a><\/noindex>. Se puede instalar cualquier sistema operativo, incluyendo desde su propia imagen. Cada servidor est\u00e1 conectado a un canal de internet de 500 Megabits y protegido gratuitamente contra ataques DDoS. <\/p>\n

\"Ha<\/a><\/noindex>
\n
Fuente: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Amazon \u043e\u0431\u044a\u044f\u0432\u0438\u043b\u0430 \u043e \u0444\u0438\u043d\u0430\u043b\u044c\u043d\u043e\u043c \u0440\u0435\u043b\u0438\u0437\u0435 Bottlerocket \u2014 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u0434\u0438\u0441\u0442\u0440\u0438\u0431\u0443\u0442\u0438\u0432\u0430 \u0434\u043b\u044f \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u043e\u0432 \u0438 \u044d\u0444\u0444\u0435\u043a\u0442\u0438\u0432\u043d\u043e\u0433\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0438\u043c\u0438. Bottlerocket (\u043a\u0441\u0442\u0430\u0442\u0438, \u0442\u0430\u043a \u043d\u0430\u0437\u044b\u0432\u0430\u044e\u0442 \u043c\u0435\u043b\u043a\u0438\u0435 \u0441\u0430\u043c\u043e\u0434\u0435\u043b\u044c\u043d\u044b\u0435 \u0440\u0430\u043a\u0435\u0442\u044b \u043d\u0430 \u0434\u044b\u043c\u043d\u043e\u043c \u043f\u043e\u0440\u043e\u0445\u0435) \u2014 \u043d\u0435 \u043f\u0435\u0440\u0432\u0430\u044f \u041e\u0421 \u0434\u043b\u044f \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u043e\u0432, \u043d\u043e \u0432\u043f\u043e\u043b\u043d\u0435 \u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e, \u0447\u0442\u043e \u043e\u043d\u0430 \u043f\u043e\u043b\u0443\u0447\u0438\u0442 \u0448\u0438\u0440\u043e\u043a\u043e\u0435 \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u0435 \u0431\u043b\u0430\u0433\u043e\u0434\u0430\u0440\u044f \u0434\u0435\u0444\u043e\u043b\u0442\u043d\u043e\u0439 \u0438\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u0438 \u0441 \u0441\u0435\u0440\u0432\u0438\u0441\u0430\u043c\u0438 AWS. \u0425\u043e\u0442\u044f \u0441\u0438\u0441\u0442\u0435\u043c\u0430 \u043e\u0440\u0438\u0435\u043d\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0430 \u043d\u0430 \u043e\u0431\u043b\u0430\u043a\u043e Amazon, \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u0439 \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u0439 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":94206,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-94205","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Se lanz\u00f3 una distribuci\u00f3n Linux minimalista Bottlerocket para ejecutar contenedores. Lo m\u00e1s importante sobre \u00e9l | ProHoster","description":"","canonical_url":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/vyshel-minimalistichnyj-linux-distributiv-bottlerocket-dlya-zapuska-kontejnerov-samoe-glavnoe-o-nyom","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"es_ES","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0412\u044b\u0448\u0435\u043b \u043c\u0438\u043d\u0438\u043c\u0430\u043b\u0438\u0441\u0442\u0438\u0447\u043d\u044b\u0439 Linux-\u0434\u0438\u0441\u0442\u0440\u0438\u0431\u0443\u0442\u0438\u0432 Bottlerocket \u0434\u043b\u044f \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u043e\u0432. \u0421\u0430\u043c\u043e\u0435 \u0433\u043b\u0430\u0432\u043d\u043e\u0435 \u043e \u043d\u0451\u043c | ProHoster","og:url":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/vyshel-minimalistichnyj-linux-distributiv-bottlerocket-dlya-zapuska-kontejnerov-samoe-glavnoe-o-nyom","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-09-13T17:42:49+00:00","article:modified_time":"2020-09-13T17:42:49+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"94205","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 11:31:27","updated":"2022-10-03 07:42:47","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/94205","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/comments?post=94205"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/94205\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media\/94206"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media?parent=94205"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/categories?post=94205"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/tags?post=94205"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}