Amazoni ettevõte teatas lõplikust väljaandest Bottlerocket — spetsialiseeritud jaotamine konteinerite käitamiseks ja tõhusaks haldamiseks.

Bottlerocket (muide, nii nimetatakse väikeseid käsitsi valmistatud rakette suitsupulbri abil) ei ole esimene konteinerite operatsioonisüsteem, kuid tõenäoliselt saavutab ta laialdase kasutuse tänu vaikimisi integreerimisele AWS teenustega. Kuigi süsteem on suunatud Amazoni pilvele, võimaldab avatud lähtekood selle kogumist igal pool: kohapeal serveris, Raspberry Pi-s, igas konkurentsivõimelises pilves ja isegi konteineriteta keskkonnas.

See on täiesti väärikas asendus CoreOS jaotusele, mille Red Hat matnud on.

Amazon Web Servicesil on tegelikult juba Amazon Linux, mis hiljuti ilmus teise versioonina: see on üldotstarbeline jaotus, mida saab käivitada Docker konteineris või Linux KVM, Microsoft Hyper-V ja VMware ESXi hüperviisoritega. See on optimeeritud AWS pilves töötamiseks, kuid Bottlerocketi väljumisega soovitavad kõik kaasa minna uue süsteemi, mis on turvalisem, kaasaegsem ja nõuab vähem ressursse.

AWS kuulutas Bottlerocketi välja märtsis 2020. Ettevõte tunnustas kohe, et see ei ole esimene "Linux konteineritele", tuues inspiratsiooniallikatena välja CoreOS, Rancher OS ja Project Atomic. Arendajad ütlesid, et operatsioonisüsteem on "tulemuseks õppetundidest, mida oleme ammutanud pikaajaliste tootmisvõimaluste kaudu Amazonis ning kuue aasta jooksul, kuidas konteinerite käitamine toob".

Ekstreemne minimalism

Linux on puhastatud kõigest, mis pole konteinerite käitamiseks vajalik. Selline disain vähendab ettevõtte sõnul rünnaku pinda.

See tähendab, et põhikomplekti installitakse vähem pakette, mis lihtsustab operatsioonisüsteemi hooldust ja uuendamist ning vähendab sõltuvusprobleemide tekkimise tõenäosust, vähendades ressursikasutust. Üldiselt töötab kõik siin eraldi konteinerite sees, samas kui põhisisu on praktiliselt paljas.

Amazon on eemaldanud kõik shellid ja tõlgendid, välistades seeläbi kasutajate privileegide tõusu riski. Baaspildis puuduvad minimalistlikkuse ja turvalisuse huvides käskluste shell, SSH-server ja interpreteeritavad keeled nagu Python. Administratori tööriistad on viidud eraldi teenindus konteinerisse, mis on vaikimisi välja lülitatud.

Süsteemi haldamine on ette nähtud kahe meetodi kaudu: API ja orkestreerimise kaudu.

Pakettide halduri asemel, mis uuendab tarkvara osi, laadib Bottlerocket alla täieliku failisüsteemi pildi ja taaskäivitub sellesse. Käivitamise ebaõnnestumise korral taastub see automaatselt ning töökoormuse ebaõnnestumine võib algatada käsitsi tagasivisu (käsk API kaudu).

Raamistik TUF (The Update Framework) laadib värskendused alternatiivsetesse või "lahutatud" partitsioonidesse. Süsteemi jaoks eraldatakse kaks ketta partitsiooni, millest üks sisaldab aktiivset süsteemi ning teine kopeerib värskenduse. Seejuures on juurepartitsioon monteeritud ainult lugemisrežiimis, samas kui partitsioon /etc on monteeritud RAM-i failisüsteemiga tmpfs ja taastab algse oleku pärast taaskäivitamist. Konfiguratsioonifailide otsene muutmine /etc ei ole toetatud: seadete salvestamiseks tuleks kasutada API-d või viia funktsionaalsus eraldi konteineritesse.

Värskendamise skeem API kaudu

Turvalisus

Konteinerid luuakse Linuxi tuuma sisseehitatud mehhanismide, nagu cgroups, nimeruumid ja seccomp, abil, samas kui sundkontrolli süsteem, et tagada täiendav isoleeritus, on SELinux "enforcing" režiimis.

Vaikimisi on aktiveeritud poliitikad ressursside jagamiseks konteinerite ja tuuma vahel. Binaarid on kaitstud lippudega, et kasutajad või programmid ei saaks neid käivitada. Ja kui keegi pääseb failisüsteemi, pakub Bottlerocket tööriista muudatuste kontrollimiseks ja jälgimiseks.

"Kontrollitud käivitamise" režiim on realiseeritud funktsiooni device-mapper-verity kaudu (dm-verity), mis kontrollib juurpartitsiooni terviklikkust käivitamise ajal. AWS kirjeldab dm-verity't kui „Linuxi tuumafunktsiooni, mis tagab terviklikkuse kontrollimise, et vältida pahatahtlike programmide tööle asumist opsüsteemis, näiteks põhikoodeksi ülekirjutamine”.

Süsteemis on ka filter eBPF (laiendatud BPF, Arendaja Aleksei Starovoitov), mis võimaldab asendada tuumamooduleid turvalisemate BPF programmidega madala taseme süsteemsete operatsioonide jaoks.

Täitev mudel
Kasutaja määratud
Kompileerimine
Turvalisus
Rikkerežiim
Ligipääs ressurssidele

Kasutaja
ülesanne
jah
igal
kasutaja õigused
täitmise katkestamine
süsteemikõne, viga

Tuuma
ülesanne
ei
staatiline
ei
tuumapaanika
otsene

BPF
sündmus
jah
JIT, CO-RE
verifikatsioon, JIT
veateade
piiratud abistajad

BPF erineb tavalisest kasutaja või tuuma taseme koodist, allikas

AWS teatas, et Bottlerocket „rakendab operatsioonimudelit, mis veelgi suurendab turvalisust, takistades ühendusi tootmisserveritega administraatori privileegidega” ja „sobib suurtele jaotatud süsteemidele, mille puhul on piiratud kontroll iga üksiku hosti üle”.

Süsteemi administraatoritele on ette nähtud administraatori konteiner. Kuid AWS ei arva, et administraator peab sageli Bottlerocketis töötama: „Sisenemine üksikusse Bottlerocketi instantsse on ette nähtud harvade toimingute jaoks: laiendatud tõrkeotsingu ja veaotsingu jaoks,” — ütlevad arendajad.

Rust keel

OS-tööriistakohv on peamiselt kirjutatud Rust'is. See keel vähendab oma olemuselt mälule ligipääsu kahjustamise tõenäosust, samuti kõrvaldades lõppede vahelist võistlemist.

Kogumise ajal kasutatakse vaikimisi lippude --enable-default-pie ja --enable-default-ssp täidetud executables'i (asukoht sõltumatu täidetav, PIE) ja virna ülekoormuse kaitse.

C/C++ pakettide jaoks lisatakse täiendavad lipud -Wall, -Werror=format-security, -Wp,-D_FORTIFY_SOURCE=2, -Wp,-D_GLIBCXX_ASSERTIONS ja -fstack-clash-protection.

Lisaks Rustile ja C/C++'le on mõned pakettide kirjutatud Go keeles.

AWS teenustega integreerimine

Erinevus seda tüüpi konteinerite opsüsteemide vahel on see, et Amazon on optimeerinud Bottlerocketi töötamiseks AWS-is ja integreerimiseks teiste AWS teenustega.

Kubernetes on kõige populaarsem konteinerite orkestreerija, seetõttu integreeris AWS enda Enterprise Kubernetes Service'i (EKS). Orkestreerimise tööriistad tulevad eraldi halduskonteineris bottlerocket-control-container, mis on vaikimisi sisse lülitatud ja mida hallatakse API ja AWS SSM Agendi kaudu.

Huvitav on näha, kas Bottlerocket tõuseb, arvestades, et mõned sarnased algatused on minevikus ebaõnnestunud. Näiteks jäi Vmware’i PhotonOS kasutamatuks ning RedHat ostis CoreOS ja sulges projekti, mida peeti antud valdkonna pioneeriks.

Bottlerocket’i integreerimine AWS teenustesse muudab selle süsteemi omaette ainulaadseks. Võib-olla on see peamine põhjus, miks mõned kasutajad võivad eelistada Bottlerocket’i teistele distributsioonidele nagu CoreOS või Alpine. Süsteem on algselt projekteeritud töötama EKS ja ECS-iga, kuid korrates, see ei ole kohustuslik. Esiteks, Bottlerocket’i saab ise kokku panna ja kasutada näiteks hosted-lahendusena. Teiseks säilitavad EKS ja ECS kasutajad siiski operatsioonisüsteemi valikuvõimaluse.

Bottlerocket’i lähtekood on avalikustatud GitHubis Apache 2.0 litsentsi all. Arendajad juba reaktsioonid vigade raportitele ja funktsioonipäringutele.

Reklaami õigustes

VDSina pakub VDS päevase tasuga. Igaüks saab installida mistahes operatsioonisüsteemi, sealhulgas oma pildist. Iga server on ühendatud 500 Mbit internetikanaliga ja on tasuta kaitstud DDoS rünnakute eest!

Allikas: habr.com