Bottlerocket 1.1 väljalase, eraldatud konteinerite jaotust

Bottlerocket 1.1.0 Linux jaotuse väljalase on saadaval, mida arendab Amazon efektiivseks ja turvaliseks eraldatud konteinerite käitamiseks. Jaotuse tööriistad ja halduskomponendid on kirjutatud Rusti keeles ning jagatakse MIT ja Apache 2.0 litsentside all. Bottlerocketi käitamist toetatakse Amazon ECS ja AWS EKS Kubernetes klastrites, samuti on võimalik luua erinevaid kogumikke ja redaktsioone, mis võimaldavad kasutada erinevaid konteinerite orkestreerimise ja tööaegade tööriistu.

Jaotus pakub atomaarset ja automaatselt uuenevat, üheosalise süsteemi pilti, mis sisaldab Linuxi tuuma ja minimaalset süsteemi keskkonda, millel on ainult vajalikud komponendid konteinerite käitamiseks. Keskkonnas on kasutusel süsteemihaldur systemd, Glibc raamatukogu, Buildrooti koostamisriistade komplekt, GRUB käivitaja, võrgukonfiguratsiooni tööriist wicked, konteinerite eraldatamise tööaeg containerd, konteinerite orkestreerimise platvorm Kubernetes, aws-iam-authenticator autentimisriist ja Amazon ECS-agent.

Konteinerite orkestreerimise tööriistad tarnitakse eraldi halduskonteineris, mis lülitatakse vaikimisi sisse ja mida hallatakse läbi API ja AWS SSM Agendi. Aluspildis ei ole käsurea tõlgendajat, server SSH ja tõlgendatavad keeled (nt Python või Perl) — administraatorite jaoks mõeldud tööriistad ja tõrkeotsinguvahendid on viidud eraldi teeninduskonteinerisse, mis on vaikimisi välja lülitatud.

Peamine erinevus sarnaste jaotuste, nagu Fedora CoreOS, CentOS/Red Hat Atomic Host, vahel on suunatus maksimaalse turvalisuse pakkumisele, et tugevdada süsteemi kaitset võimalike ohtude eest, keeruliseks muuta haavatavuste ärakasutamine OS komponentides ja suurendada konteinerite isoleeritust. Kotteeritatakse tavaliste Linuxi tuuma mehhanismide — cgroups, nimetamisruumide ja seccomp abil. Täiendava isoleerimise tagamiseks kasutatakse jaotuses SELinuxi 'enforcing' režiimis.

Käivitusosa monteeritakse ainult lugemisrežiimis, samas kui seadistusosa /etc monteeritakse tmpfs ja taastab algse oleku pärast taaskäivitamist. Failide otsene muutmine kataloogis /etc, nagu /etc/resolv.conf ja /etc/containerd/config.toml, ei ole toetatud — seadete püsivaks salvestamiseks tuleks kasutada API-d või funktsionaalsust eraldada eraldi konteineritesse. Krüptograafilise tõe kontrollimise jaoks kasutatakse moduli dm-verity, ning kui andmete muutmise katse tuvastatakse blokeerimisseadme tasemel, taaskäivitub süsteem.

Enamik süsteemi komponente on kirjutatud keeles Rust, mis pakub mäluohutusvahendeid, mis aitavad vältida haavatavusi, nagu juurdepääs vabastatud mälu aladele, nullviidete dereferentseerimine ja puhvriväljakandeid. Vaikesätetena rakendatakse koostamisel kompilatsioonirežiime "--enable-default-pie" ja "--enable-default-ssp", et lubada teostatavfailide (PIE) aadressirikkalduse randomiseerimist ja kaitset virna ülevoolu eest läbi kanarisiltide asendamise. C/C++ keeles kirjutatud paketid saavad lisaks lipud "-Wall", "-Werror=format-security", "-Wp,-D_FORTIFY_SOURCE=2", "-Wp,-D_GLIBCXX_ASSERTIONS" ja "-fstack-clash-protection".

Uues väljaandes:

• Pakutud on kaks uut distributsiooniversiooni aws-k8s-1.20 ja vmware-k8s-1.20, mis toetavad Kubernetes 1.20. Nendes versioonides, samuti uuendatud versioonis aws-ecs-1, on kasutusel uus Linuxi tuum 5.10. Vaikesättena on lockdown režiim muudetud väärtuseks "integrity" (suudab piirata kasutaja ruumist tuumale muudatuste tegemise võimalusi). Toetust variantidele aws-k8s-1.15, mis põhines Kubernetes 1.15-l, on lõpetatud.
• Amazon ECS-ile on rakendatud võrgurežiimi awsvpc tugi, mis võimaldab eraldada eraldi võrguliidesed ja sisemised IP-aadressid iga ülesande jaoks.
• Lisatud seadistused, et hallata erinevaid Kubernetes'i parameetreid, sealhulgas QPS, piirangud basseinidele ja võimalus ühendada pilveteenuse pakkujatega, kes ei ole AWS.
• Bootstrap konteineris on kasutaja andmete juurdepääs piiratud SELinuxi abil.
• Lisatud on utiliit resize2fs.

Allikas: opennet.ru