Microsoft avaldas CBL-Mariner Linuxi distributsiooni värskenduse

Microsofti ettevõte on avaldanud CBL-Mariner 1.0.20210901 (Common Base Linux Mariner) jaotuse uuenduse, mis arendatakse välja kui universaalne põhiplatvorm Linuxi keskkondade jaoks, mida kasutatakse pilveinfrastruktuuris, äärissesüsteemides ja erinevates Microsofti teenustes. Projekti eesmärk on ühtlustada Microsoftis kasutatavaid Linuxi lahendusi ning lihtsustada erinevatel eesmärkidel kasutatavate Linuxi süsteemide ajakohasena hoidmist. Projekti arengud levitatakse MIT-i litsentsi alusel.

Uues väljaandes:

• Alustati baas-iso-pildi (700 MB) loomist. Esimeses väljaandes ei pakutud valmis ISO-pilte, eeldati, et kasutaja suudab ise luua pildi vajaliku sisuga (kokkupanekuks on juhised valmistatud Ubuntu 18.04 jaoks).
• Teostatud on pakettide automaatse uuendamise tugi, mille jaoks on lisatud rakendus Dnf-Automatic.
• Linuxi kerneli versioon on uuendatud 5.10.60.1-le. Uuendatud on ka programmide versioonid, sealhulgas openvswitch 2.15.1, golang 1.16.7, logrus 1.8.1, tcell 1.4.0, gonum 0.9.3, testify 1.7.0, crunchy 0.4.0, xz 0.5.10, swig 4.0.2, squashfs-tools 4.4, mysql 8.0.26.
• OpenSSL-is on võimaldatud tagasi tuua TLS 1 ja TLS 1.1 tugi.
• Paketite tööriistade algtekstide kontrollimiseks kasutatakse utiliiti sha256sum.
• Komplekti on lisatud uued paketid: etcd-tools, cockpit, aide, fipscheck, tini.
• Kustutatud on paketid brp-strip-debug-symbols, brp-strip-unneeded ja ca-legacy. Kustutatud on SPEC-failid paketidelt Dotnet ja aspnetcore, mida arendavad nüüd .NETi põhimeeskond ja mis on paigutatud eraldi repositooriumisse.
• Kasutatavatesse paketiversioonidesse on kantud turvaauke parandavad muudatused.

Meenutame, et CBL-Mariner'i distributsioon pakub väikest tüüpilist komplekti põhikommunaalide jaoks, mis toimivad universaalse aluse loomisel konteinerite, host-keskkondade ja teenuste jaoks, mis töötavad pilvetehnoloogiates ja ääre-seadmetes. Komplexsemad ja spetsialiseeritud lahendused võivad tekkida, lisades CBL-Mariner'i peale täiendavaid pakette, kuid alus kõigile sellistele süsteemidele jääb muutumatuks, mis lihtsustab hooldust ja uuenduste ettevalmistamist. Näiteks kasutatakse CBL-Mariner'i mini-distro aluseks WSLg, mis pakub graafikastaki komponente Linux'i GUI rakenduste käitamiseks WSL2 (Windows Subsystem for Linux) alusel põhinevates keskkondades. WSLg laiendatud funktsionaalsus on saavutatud täiendavate komposiitpakettide kaudu. serveriga Weston, XWayland, PulseAudio ja FreeRDP.

CBL-Marineri koostamissüsteem võimaldab genereerida nii eraldi RPM-pakette SPEC-failide ja allikakoodide alusel kui ka monoliitseid süsteemipilte, mis koostatakse rpm-ostree tööriista abil ja mida uuendatakse atomitena ilma eraldi pakettideks jagamiseta. Seetõttu toetatakse kahte mudelit uuenduste tarnimiseks: eraldi pakettide värskendamine ja kogu süsteemipildi uuendamine ja ümber ehitamine. Saadaval on hoidla, mis sisaldab umbes 3000 juba kokku pandud RPM-paketti, mida saab kasutada oma piltide koostamiseks konfiguratsioonifaili alusel.

Jaotus sisaldab ainult kõige vajalikumaid komponente ja on optimeeritud minimaalsete mälunõuete ja ketasruumi tarbimise ning kiire laadimisaja jaoks. Jaotus on märkimisväärne ka mitmete lisamehhanismide lisamise poolest, mis suurendavad turvalisust. Projekti lähenemine põhineb „maksimaalsel turvalisusel vaikeväärtustena“. Pakutakse võimalust filtreerida süsteemikõnesid seccomp mehhanismi abil, krüpteerida kettasektsioonid ja jälgida pakette digitaalsete allkirjade järgi.

Linuxi tuumad toetavad aadressipinna randomiseerimise režiime ning kaitsemehhanisme sümboolsete linkide, mmapi, /dev/mem ja /dev/kmem rünnakute vastu. Tuumandmete ja moodulite segmendid on määratud ainult lugemisrežiimi ning koodide täitmine on keelatud. Valikuliselt on saadaval võimalus keelata tuumamoodulite laadimine pärast süsteemi käivitamist. Võrgupaketid filtreeritakse iptables'i tööriistade abil. Vaikimisi on kogumise käigus aktiveeritud kaitsemeetmed ülekoormuse, puhverülekande ja stringi vormindamise probleemide vastu (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro).

Teenuste ja laadi haldamiseks kasutatakse süsteemi haldurit systemd. Pakettide haldamiseks on saadaval pakettide haldurid RPM ja DNF (vmWare'i variant tdnf). SSH-server ei ole vaikimisi sisse lülitatud. Jaotuse installimiseks on olemas installer, mis toetab nii tekstipõhist kui ka graafilist režiimi. Installer pakub võimalust installida täieliku või põhipakettide kogumi, samuti on saadaval liides kettaruumi valimiseks, hõlmates hosti nime määramist ja kasutajate loomist.

Allikas: opennet.ru