Saadaval on Bottlerocket 1.8, isolatsiooni konteinerite põhine distributsioon

Avaldatud on Linux-i distributsi Bottlerocket 1.8.0 väljaanne, mida arendatakse koostöös ettevõttega Amazon, et tõhusalt ja turvaliselt käivitada isoleeritud konteinerid. Distributsi tööriistad ja halduskomponendid on kirjutatud keeles Rust ning neid levitatakse MIT ja Apache 2.0 litsentside alusel. Bottlerocketi käitamine on toetatud Amazon ECS, VMware ja AWS EKS Kubernetes klastrites, samuti on võimalik luua kohandatud versioone ja redaktsioone, mis võimaldavad kasutada erinevaid orkestreerimise ja konteinerite tööaegade tööriistu.

Jaotus pakub atomaarset ja automaatselt uuenevat, üheosalise süsteemi pilti, mis sisaldab Linuxi tuuma ja minimaalset süsteemi keskkonda, millel on ainult vajalikud komponendid konteinerite käitamiseks. Keskkonnas on kasutusel süsteemihaldur systemd, Glibc raamatukogu, Buildrooti koostamisriistade komplekt, GRUB käivitaja, võrgukonfiguratsiooni tööriist wicked, konteinerite eraldatamise tööaeg containerd, konteinerite orkestreerimise platvorm Kubernetes, aws-iam-authenticator autentimisriist ja Amazon ECS-agent.

Konteinerite orkestreerimise tööriistad tarnitakse eraldi halduskonteineris, mis lülitatakse vaikimisi sisse ja mida hallatakse läbi API ja AWS SSM Agendi. Aluspildis ei ole käsurea tõlgendajat, server SSH ja tõlgendatavad keeled (nt Python või Perl) — administraatorite jaoks mõeldud tööriistad ja tõrkeotsinguvahendid on viidud eraldi teeninduskonteinerisse, mis on vaikimisi välja lülitatud.

Peamine erinevus sarnaste jaotuste, nagu Fedora CoreOS, CentOS/Red Hat Atomic Host, vahel on suunatus maksimaalse turvalisuse pakkumisele, et tugevdada süsteemi kaitset võimalike ohtude eest, keeruliseks muuta haavatavuste ärakasutamine OS komponentides ja suurendada konteinerite isoleeritust. Kotteeritatakse tavaliste Linuxi tuuma mehhanismide — cgroups, nimetamisruumide ja seccomp abil. Täiendava isoleerimise tagamiseks kasutatakse jaotuses SELinuxi 'enforcing' režiimis.

Käivitusosa monteeritakse ainult lugemisrežiimis, samas kui seadistusosa /etc monteeritakse tmpfs ja taastab algse oleku pärast taaskäivitamist. Failide otsene muutmine kataloogis /etc, nagu /etc/resolv.conf ja /etc/containerd/config.toml, ei ole toetatud — seadete püsivaks salvestamiseks tuleks kasutada API-d või funktsionaalsust eraldada eraldi konteineritesse. Krüptograafilise tõe kontrollimise jaoks kasutatakse moduli dm-verity, ning kui andmete muutmise katse tuvastatakse blokeerimisseadme tasemel, taaskäivitub süsteem.

Enamik süsteemi komponente on kirjutatud keeles Rust, mis pakub mäluohutusvahendeid, mis aitavad vältida haavatavusi, nagu juurdepääs vabastatud mälu aladele, nullviidete dereferentseerimine ja puhvriväljakandeid. Vaikesätetena rakendatakse koostamisel kompilatsioonirežiime "--enable-default-pie" ja "--enable-default-ssp", et lubada teostatavfailide (PIE) aadressirikkalduse randomiseerimist ja kaitset virna ülevoolu eest läbi kanarisiltide asendamise. C/C++ keeles kirjutatud paketid saavad lisaks lipud "-Wall", "-Werror=format-security", "-Wp,-D_FORTIFY_SOURCE=2", "-Wp,-D_GLIBCXX_ASSERTIONS" ja "-fstack-clash-protection".

Uues väljaandes:

• Uuendatud on haldus- ja juhtimis konteinerite sisu.
• Isolatsioonikonteinerite tööaeg on uuendatud containerd 1.6.x haru peale.
• Tagatud on taustprotsesside taaskäivitamine, mis kooskõlastavad konteinerite tööd pärast sertifikaatide salvestamise muudatusi.
• Kandideerimise võimalus on antud päringu alglaadimise seadete määramiseks Boot Configuration sektsiooni kaudu.
• Lisatud on tühjade blokkskeemide ignoreerimine juurtaseme terviklikkuse kontrollimisel dm-verity kaudu.
• Antud on võimalus staatiliselt siduda hostide nimesid failis /etc/hosts.
• Sunduseid on genereerida võrgukonfiguratsioon netdog utiliidi abil (lisatud käsk generate-net-config).
• Uued distributsi variandid Kubernetes 1.23 toega. Kubernetes'e pod-ide käivitusaega on lühendatud, keelates configMapAndSecretChangeDetectionStrategy režiimi. Lisatud on uued kubelet'i seaded: provider-id ja podPidsLimit.
• Uus distributsi variant "aws-ecs-1-nvidia" on Amazon Elastic Container Service'i (Amazon ECS) jaoks saadaval, tarnituna NVIDIA draiveritega.
• Toetatud on Microchip Smart Storage ja MegaRAID SAS salvestusseadmed. Etherneti kaartide tugi laieneb Broadcomi kiipidele.
• Uuendatud on pakettide ja sõltuvuste versioonid Go ja Rust keelte jaoks ning samuti kolmandate osapoolte programmide paketid. Bottlerocket SDK on uuendatud versioonini 0.26.0.

Allikas: opennet.ru