🥇Bottlerocket 1.2 väljaanne, isoleeritud konteinerite jagatud versioon

Saadaval on Linux-jagatud Bottlerocket 1.2.0, mille arendamisel osaleb Amazon, et tõhusalt ja turvaliselt käitada isoleeritud konteinerite. Jagamise tööriistad ja halduskomponendid on kirjutatud Rusti keeles ning jagatakse MIT ja Apache 2.0 litsentside alusel. Bottlerocketi käitamine on toetatud Amazon ECS, VMware ja AWS EKS Kubernetes klastrites ning võimaldab luua kohandatud koosseise ja versioone, mis toetavad erinevaid orkestreerimise ja konteinerite jooksuaja tööriistu.

Jaotus pakub atomaarset ja automaatselt uuenevat, üheosalise süsteemi pilti, mis sisaldab Linuxi tuuma ja minimaalset süsteemi keskkonda, millel on ainult vajalikud komponendid konteinerite käitamiseks. Keskkonnas on kasutusel süsteemihaldur systemd, Glibc raamatukogu, Buildrooti koostamisriistade komplekt, GRUB käivitaja, võrgukonfiguratsiooni tööriist wicked, konteinerite eraldatamise tööaeg containerd, konteinerite orkestreerimise platvorm Kubernetes, aws-iam-authenticator autentimisriist ja Amazon ECS-agent.

Konteinerite orkestreerimise tööriistad tarnitakse eraldi halduskonteineris, mis lülitatakse vaikimisi sisse ja mida hallatakse läbi API ja AWS SSM Agendi. Aluspildis ei ole käsurea tõlgendajat, server SSH ja tõlgendatavad keeled (nt Python või Perl) — administraatorite jaoks mõeldud tööriistad ja tõrkeotsinguvahendid on viidud eraldi teeninduskonteinerisse, mis on vaikimisi välja lülitatud.

Peamine erinevus sarnaste jaotuste, nagu Fedora CoreOS, CentOS/Red Hat Atomic Host, vahel on suunatus maksimaalse turvalisuse pakkumisele, et tugevdada süsteemi kaitset võimalike ohtude eest, keeruliseks muuta haavatavuste ärakasutamine OS komponentides ja suurendada konteinerite isoleeritust. Kotteeritatakse tavaliste Linuxi tuuma mehhanismide — cgroups, nimetamisruumide ja seccomp abil. Täiendava isoleerimise tagamiseks kasutatakse jaotuses SELinuxi 'enforcing' režiimis.

Käivitusosa monteeritakse ainult lugemisrežiimis, samas kui seadistusosa /etc monteeritakse tmpfs ja taastab algse oleku pärast taaskäivitamist. Failide otsene muutmine kataloogis /etc, nagu /etc/resolv.conf ja /etc/containerd/config.toml, ei ole toetatud — seadete püsivaks salvestamiseks tuleks kasutada API-d või funktsionaalsust eraldada eraldi konteineritesse. Krüptograafilise tõe kontrollimise jaoks kasutatakse moduli dm-verity, ning kui andmete muutmise katse tuvastatakse blokeerimisseadme tasemel, taaskäivitub süsteem.

Enamik süsteemi komponente on kirjutatud keeles Rust, mis pakub mäluohutusvahendeid, mis aitavad vältida haavatavusi, nagu juurdepääs vabastatud mälu aladele, nullviidete dereferentseerimine ja puhvriväljakandeid. Vaikesätetena rakendatakse koostamisel kompilatsioonirežiime "--enable-default-pie" ja "--enable-default-ssp", et lubada teostatavfailide (PIE) aadressirikkalduse randomiseerimist ja kaitset virna ülevoolu eest läbi kanarisiltide asendamise. C/C++ keeles kirjutatud paketid saavad lisaks lipud "-Wall", "-Werror=format-security", "-Wp,-D_FORTIFY_SOURCE=2", "-Wp,-D_GLIBCXX_ASSERTIONS" ja "-fstack-clash-protection".

Uues väljaandes:

Lisatud tugi konteinerite piltide registri peeglitele.
Lisatud võimalus kasutada enda allkirjastatud sertifikaate.
Lisatud parameeter hostinime seadistamiseks.
Uuendatud vaikimisi pakutava halduskonteineri versioon.
Lisatud seaded topologyManagerPolicy ja topologyManagerScope kubeleti jaoks.
Lisatud tugi kernelite tihendamiseks zstd algoritmi abil.
Pakutakse võimalust laadida VMware'i virtuaalmasinate OVA (Open Virtualization Format) formaadis.
Uuendatud varianti distributsioonist aws-k8s-1.21, mis toetab Kubernetes 1.21. Toetamine aws-k8s-1.16 on lõpetatud.
Rust'i paketid ja sõltuvused on värskendatud.

Allikas: opennet.ru

Bottlerocket 1.2 väljaanne, isoleeritud konteineritele põhinev distributsioon