Väljaanne Bottlerocket 1.3, isolatsioonikonteinerite põhine distributsioon

Käskluse Linux-distro Bottlerocket 1.3.0 väljaanne, mille arendamist toetab ettevõte Amazon, et tõhusalt ja turvaliselt käivitada isoleeritud konteinerid. Distro tööriistakomplekt ja halduskomponendid on kirjutatud Rusti keeles ning neid levitatakse MIT ja Apache 2.0 litsentside alusel. Bottlerocketi käitamine on toetatud Amazon ECS, VMware ja AWS EKS Kubernetes klastrites, samuti saate luua kohandatud kogumikke ja redaktsioone, mis võimaldavad kasutada erinevaid orkestreerimise ja konteinerite eluiga tööriistu.

Distributsioon pakub atomaarset ja automaatselt uuendatavat osalist süsteemipilti, mis sisaldab Linuxi tuuma ja minimaalset süsteemikeskkonda, sealhulgas ainult konteinerite käitamiseks vajalikke komponente. Keskkonnas on kaasatud süsteemi halduri systemd, Glibc teek, Buildrooti ehitustööriist, GRUB käivitaja, võrgu konfigureerija wicked, isoleeritud konteinerite runtime containerd, konteinerite orkestreerimise platvorm Kubernetes, autentija aws-iam-authenticator ja Amazon ECS agent.

Konteinerite orkestreerimise tööriistad pakutakse eraldi halduskonteineris, mis on vaikimisi sisse lülitatud ja mida juhitakse API ja AWS SSM Agendi kaudu. Baaspildis puudub käsurea liides. server SSH ja tõlgendatavad keelid (nt Python või Perl ei ole saadaval) — administraatori ja silumisvahendid on viidud eraldi teeninduskonteinerisse, mis on vaikimisi välja lülitatud.

Peamine erinevus sarnaste distributsioonide, nagu Fedora CoreOS, CentOS/Red Hat Atomic Host, ees on maksimaalse turvalisuse tagamine, et tugevdada süsteemi kaitset võimalike ohtude eest, raskendada haavatavuste ärakasutamist OPS komponentides ja suurendada konteinerite isolatsiooni. Konteinerid luuakse Linuxi põhimoodulite kaudu — cgroups, nimespacious ja seccomp. Täiendava isolatsiooni saavutamiseks rakendatakse distributsioonis SELinuxi „enforcing” režiimis.

Juurt jagu liidetakse ainult lugemisrežiimis ning seadete jagu /etc liidetakse tmpfs, taastades algse oleku pärast taaskäivitamist. Failide otsene muutmine kataloogis /etc, nagu näiteks /etc/resolv.conf ja /etc/containerd/config.toml, ei ole toetatud — parimate seadete säilitamiseks tuleks kasutada API-d või viia funktsioon eraldi konteineritesse. Juurepartitsiooni terviklikkuse krüptograafiliseks kontrollimiseks kasutatakse moodulit dm-verity, ning andmete muutmise katse korral blokeerib süsteem taaskäivitamise.

Enamik süsteemikomponente on kirjutatud Rusti keeles, mis pakub mäluga ohutut töötlemist, vältides haavatavusi, mis tulenevad mälu vabastamise järgsest juurdepääsust, nullnäidikute de-referentseerimisest ja puhverpiirist väljumisest. Vaikimisi kompileerimise režiimid "--enable-default-pie" ja "--enable-default-ssp" võimaldavad täidesaatvate failide (PIE) aadressiruumi randomiseerimist ja steki ülevoolu kaitset kanaribalipide asendamise kaudu. C/C++ keeles kirjutatud pakettide puhul aktiveeritakse täiendavalt lipud "-Wall", "-Werror=format-security", "-Wp,-D_FORTIFY_SOURCE=2", "-Wp,-D_GLIBCXX_ASSERTIONS" ja "-fstack-clash-protection".

Uues väljaandes:

• Aadressitud on haavatavustega, mis esinesid docker'i tööriistakomplektis ja runtime containerd's (CVE-2021-41089, CVE-2021-41091, CVE-2021-41092, CVE-2021-41103), mis olid seotud vale juurdepääsuloogikaga, mis võimaldas mitteprivileegitud kasutajatel pääseda välja põhikaustast ja käivitada väliseid programme.
• Kubelet'i ja pluto toodi sisse IPv6 tugi.
• Konteinerite uuesti käivitamise võimalus pärast nende seadetega seotud muudatusi.
• Paketti eni-max-pods on lisatud Amazon EC2 M6i instantside tugi.
• Open-vm-tools'i on lisatud seadme filtrite tugi, mis on rakendatud Cilium'i tööriistakomplekti kaudu.
• Platvormile x86_64 on rakendatud hübriidne laadimisrežiim (toetades EFI ja BIOS).
• Uuendatud pakettide ja sõltuvuste versioonid keelele Rust.
• Distro variante aws-k8s-1.17, mis põhineb Kubernetes 1.17, on toe lõpetanud. Soovitame kasutada aws-k8s-1.21 varianti, mis toetab Kubernetes 1.21. k8s variantides on kasutusel seadistused cgroup runtime.slice ja system.slice.

Allikas: opennet.ru