Bottlerocket 1.2 väljaanne, isoleeritud konteinerite põhised distributsioon

Saadaval on Linuxi distributsiooni Bottlerocket 1.2.0 väljaanne, mida arendab Amazon, et tõhusalt ja turvaliselt käitada isoleeritud konteinerite. Distributsiooni tööriistad ja juhtkomponendid on kirjutatud Rust keeles ning levitatakse MIT ja Apache 2.0 litsentside alusel. Bottlerocketit toetatakse Amazon ECS, VMware ja AWS EKS Kubernetes klastrites ning võimaldab luua kohandatud kogumisi ja väljaandeid, mis lubavad erinevate orkestreerimise ja konteinerite runtime vahendite kasutamist.

Distributsioon pakub atomaarset ja automaatselt uuendatavat osalist süsteemipilti, mis sisaldab Linuxi tuuma ja minimaalset süsteemikeskkonda, sealhulgas ainult konteinerite käitamiseks vajalikke komponente. Keskkonnas on kaasatud süsteemi halduri systemd, Glibc teek, Buildrooti ehitustööriist, GRUB käivitaja, võrgu konfigureerija wicked, isoleeritud konteinerite runtime containerd, konteinerite orkestreerimise platvorm Kubernetes, autentija aws-iam-authenticator ja Amazon ECS agent.

Konteinerite orkestreerimise tööriistad pakutakse eraldi halduskonteineris, mis on vaikimisi sisse lülitatud ja mida juhitakse API ja AWS SSM Agendi kaudu. Baaspildis puudub käsurea liides. server SSH ja tõlgendatavad keelid (nt Python või Perl ei ole saadaval) — administraatori ja silumisvahendid on viidud eraldi teeninduskonteinerisse, mis on vaikimisi välja lülitatud.

Peamine erinevus sarnaste distributsioonide, nagu Fedora CoreOS, CentOS/Red Hat Atomic Host, ees on maksimaalse turvalisuse tagamine, et tugevdada süsteemi kaitset võimalike ohtude eest, raskendada haavatavuste ärakasutamist OPS komponentides ja suurendada konteinerite isolatsiooni. Konteinerid luuakse Linuxi põhimoodulite kaudu — cgroups, nimespacious ja seccomp. Täiendava isolatsiooni saavutamiseks rakendatakse distributsioonis SELinuxi „enforcing” režiimis.

Juurt jagu liidetakse ainult lugemisrežiimis ning seadete jagu /etc liidetakse tmpfs, taastades algse oleku pärast taaskäivitamist. Failide otsene muutmine kataloogis /etc, nagu näiteks /etc/resolv.conf ja /etc/containerd/config.toml, ei ole toetatud — parimate seadete säilitamiseks tuleks kasutada API-d või viia funktsioon eraldi konteineritesse. Juurepartitsiooni terviklikkuse krüptograafiliseks kontrollimiseks kasutatakse moodulit dm-verity, ning andmete muutmise katse korral blokeerib süsteem taaskäivitamise.

Enamik süsteemikomponente on kirjutatud Rusti keeles, mis pakub mäluga ohutut töötlemist, vältides haavatavusi, mis tulenevad mälu vabastamise järgsest juurdepääsust, nullnäidikute de-referentseerimisest ja puhverpiirist väljumisest. Vaikimisi kompileerimise režiimid "--enable-default-pie" ja "--enable-default-ssp" võimaldavad täidesaatvate failide (PIE) aadressiruumi randomiseerimist ja steki ülevoolu kaitset kanaribalipide asendamise kaudu. C/C++ keeles kirjutatud pakettide puhul aktiveeritakse täiendavalt lipud "-Wall", "-Werror=format-security", "-Wp,-D_FORTIFY_SOURCE=2", "-Wp,-D_GLIBCXX_ASSERTIONS" ja "-fstack-clash-protection".

Uues väljaandes:

• Lisatud konteineripiltide registri peeglite tugi.
• Lisatud võimalus kasutada enda poolt allkirjastatud sertifikaate.
• Lisatud parameeter hosti nime seadistamiseks.
• Vaikimisi halduskonteineri versioon on uuendatud.
• Lisatud seadistused topologyManagerPolicy ja topologyManagerScope kubelet’ile.
• Uuendatud tuumakompressiooni tugi zstd algoritmi kaudu.
• Pakutakse võimalust laadida VMware'isse virtuaalmasinad OVA (Open Virtualization Format) formaadis.
• Uuendatud aws-k8s-1.21 jaotuse variandid, mis toetavad Kubernetes 1.21. Toetamine aws-k8s-1.16 on lõpetatud.
• Uuendatud pakettide ja sõltuvuste versioonid keelele Rust.

Allikas: opennet.ru