Bottlerocket 1.3 väljaanne, isolatsioonikonteinerite põhine distributiiv

Ilmunik on välja antud Linuxi jaotuse Bottlerocket 1.3.0, mille arendamisel osaleb ettevõte Amazon, et tõhusalt ja turvaliselt käitada isoleeritud konteinerite rakendusi. Jaotuse tööriistad ja juhtimis komponendid on kirjutatud Rusti ning neid jaotatakse MIT ja Apache 2.0 litsentside alusel. Bottlerocket'i käitamine on toetatud Amazon ECS, VMware ja AWS EKS Kubernetes klasterites, samuti kohandatud ehituste ja väljaannete loomine, mis võimaldab kasutada erinevaid orkestreerimise ja konteinerite runtime tööriistu.

Jaotus pakub atomaarset ja automaatselt uuenevat, üheosalise süsteemi pilti, mis sisaldab Linuxi tuuma ja minimaalset süsteemi keskkonda, millel on ainult vajalikud komponendid konteinerite käitamiseks. Keskkonnas on kasutusel süsteemihaldur systemd, Glibc raamatukogu, Buildrooti koostamisriistade komplekt, GRUB käivitaja, võrgukonfiguratsiooni tööriist wicked, konteinerite eraldatamise tööaeg containerd, konteinerite orkestreerimise platvorm Kubernetes, aws-iam-authenticator autentimisriist ja Amazon ECS-agent.

Konteinerite orkestreerimise tööriistad tarnitakse eraldi halduskonteineris, mis lülitatakse vaikimisi sisse ja mida hallatakse läbi API ja AWS SSM Agendi. Aluspildis ei ole käsurea tõlgendajat, server SSH ja tõlgendatavad keeled (nt Python või Perl) — administraatorite jaoks mõeldud tööriistad ja tõrkeotsinguvahendid on viidud eraldi teeninduskonteinerisse, mis on vaikimisi välja lülitatud.

Peamine erinevus sarnaste jaotuste, nagu Fedora CoreOS, CentOS/Red Hat Atomic Host, vahel on suunatus maksimaalse turvalisuse pakkumisele, et tugevdada süsteemi kaitset võimalike ohtude eest, keeruliseks muuta haavatavuste ärakasutamine OS komponentides ja suurendada konteinerite isoleeritust. Kotteeritatakse tavaliste Linuxi tuuma mehhanismide — cgroups, nimetamisruumide ja seccomp abil. Täiendava isoleerimise tagamiseks kasutatakse jaotuses SELinuxi 'enforcing' režiimis.

Käivitusosa monteeritakse ainult lugemisrežiimis, samas kui seadistusosa /etc monteeritakse tmpfs ja taastab algse oleku pärast taaskäivitamist. Failide otsene muutmine kataloogis /etc, nagu /etc/resolv.conf ja /etc/containerd/config.toml, ei ole toetatud — seadete püsivaks salvestamiseks tuleks kasutada API-d või funktsionaalsust eraldada eraldi konteineritesse. Krüptograafilise tõe kontrollimise jaoks kasutatakse moduli dm-verity, ning kui andmete muutmise katse tuvastatakse blokeerimisseadme tasemel, taaskäivitub süsteem.

Enamik süsteemi komponente on kirjutatud keeles Rust, mis pakub mäluohutusvahendeid, mis aitavad vältida haavatavusi, nagu juurdepääs vabastatud mälu aladele, nullviidete dereferentseerimine ja puhvriväljakandeid. Vaikesätetena rakendatakse koostamisel kompilatsioonirežiime "--enable-default-pie" ja "--enable-default-ssp", et lubada teostatavfailide (PIE) aadressirikkalduse randomiseerimist ja kaitset virna ülevoolu eest läbi kanarisiltide asendamise. C/C++ keeles kirjutatud paketid saavad lisaks lipud "-Wall", "-Werror=format-security", "-Wp,-D_FORTIFY_SOURCE=2", "-Wp,-D_GLIBCXX_ASSERTIONS" ja "-fstack-clash-protection".

Uues väljaandes:

• Parandatud on haavatavused docker'i tööriistade ja containerd runtime'is (CVE-2021-41089, CVE-2021-41091, CVE-2021-41092, CVE-2021-41103), mis olid seotud vale ligipääsu seadistamisega, mis võimaldas mitteprivilegeeritud kasutajatel pääseda põhikaustast välja ja käitada väliseid programme.
• Kubelet'i ja pluto'sse on lisatud IPv6 toetus.
• On võimaldatud konteineri taaskäivitamine pärast selle seadete muutmist.
• Paketti eni-max-pods on lisatud Amazon EC2 M6i instantside tugi.
• Open-vm-tools on saanud seadme filtrite toe, mis on rakendatud Cilium'i tööriista baasil.
• x86_64 platvormile on realiseeritud hübriidne käivitamisrežiim (toetades EFI ja BIOS).
• Rust'i paketid ja sõltuvused on värskendatud.
• Toetuse lõppemine jaotusele aws-k8s-1.17, mis põhineb Kubernetes 1.17-l. Soovitatakse kasutada aws-k8s-1.21 varianti, mis toetab Kubernetes 1.21. K8s variantides on kasutusele võetud cgroup runtime.slice ja system.slice seaded.

Allikas: opennet.ru