Bottlerocket 1.7 väljaanne, isoleeritud konteinerite põhine distributsioon

Käideldud on Linuxi distributsiooni Bottlerocket 1.7.0 väljalaskmist, mille arendamine toimub koostöös Amazoniga, et tõhusalt ja turvaliselt rakendada isoleeritud konteinerite käivitamist. Distributsiooni tööriistad ja halduskomponendid on kirjutatud Rust keeles ning neid levitatakse MIT ja Apache 2.0 litsentside alusel. Bottlerocketi käitamine on toetatud Amazon ECS, VMware ja AWS EKS Kubernetes klastrites ning võimaldab luua eritellimusel versioone ja redaktsioone, mis toetavad erinevaid konteinerite orkestratsioonitööriistu ja runtime'e.

Jaotus pakub atomaarset ja automaatselt uuenevat, üheosalise süsteemi pilti, mis sisaldab Linuxi tuuma ja minimaalset süsteemi keskkonda, millel on ainult vajalikud komponendid konteinerite käitamiseks. Keskkonnas on kasutusel süsteemihaldur systemd, Glibc raamatukogu, Buildrooti koostamisriistade komplekt, GRUB käivitaja, võrgukonfiguratsiooni tööriist wicked, konteinerite eraldatamise tööaeg containerd, konteinerite orkestreerimise platvorm Kubernetes, aws-iam-authenticator autentimisriist ja Amazon ECS-agent.

Konteinerite orkestreerimise tööriistad tarnitakse eraldi halduskonteineris, mis lülitatakse vaikimisi sisse ja mida hallatakse läbi API ja AWS SSM Agendi. Aluspildis ei ole käsurea tõlgendajat, server SSH ja tõlgendatavad keeled (nt Python või Perl) — administraatorite jaoks mõeldud tööriistad ja tõrkeotsinguvahendid on viidud eraldi teeninduskonteinerisse, mis on vaikimisi välja lülitatud.

Peamine erinevus sarnaste jaotuste, nagu Fedora CoreOS, CentOS/Red Hat Atomic Host, vahel on suunatus maksimaalse turvalisuse pakkumisele, et tugevdada süsteemi kaitset võimalike ohtude eest, keeruliseks muuta haavatavuste ärakasutamine OS komponentides ja suurendada konteinerite isoleeritust. Kotteeritatakse tavaliste Linuxi tuuma mehhanismide — cgroups, nimetamisruumide ja seccomp abil. Täiendava isoleerimise tagamiseks kasutatakse jaotuses SELinuxi 'enforcing' režiimis.

Käivitusosa monteeritakse ainult lugemisrežiimis, samas kui seadistusosa /etc monteeritakse tmpfs ja taastab algse oleku pärast taaskäivitamist. Failide otsene muutmine kataloogis /etc, nagu /etc/resolv.conf ja /etc/containerd/config.toml, ei ole toetatud — seadete püsivaks salvestamiseks tuleks kasutada API-d või funktsionaalsust eraldada eraldi konteineritesse. Krüptograafilise tõe kontrollimise jaoks kasutatakse moduli dm-verity, ning kui andmete muutmise katse tuvastatakse blokeerimisseadme tasemel, taaskäivitub süsteem.

Enamik süsteemi komponente on kirjutatud keeles Rust, mis pakub mäluohutusvahendeid, mis aitavad vältida haavatavusi, nagu juurdepääs vabastatud mälu aladele, nullviidete dereferentseerimine ja puhvriväljakandeid. Vaikesätetena rakendatakse koostamisel kompilatsioonirežiime "--enable-default-pie" ja "--enable-default-ssp", et lubada teostatavfailide (PIE) aadressirikkalduse randomiseerimist ja kaitset virna ülevoolu eest läbi kanarisiltide asendamise. C/C++ keeles kirjutatud paketid saavad lisaks lipud "-Wall", "-Werror=format-security", "-Wp,-D_FORTIFY_SOURCE=2", "-Wp,-D_GLIBCXX_ASSERTIONS" ja "-fstack-clash-protection".

Uues väljaandes:

• RPM-pakettide installimise ajal luuakse programmide nimekiri JSON-formaadis ja mountitakse host-konteineris failina /var/lib/bottlerocket/inventory/application.json, et saada teavet saadaval olevate pakettide kohta.
• Containerid „admin” ja „control” on uuendatud.
• Uuendatud on pakettide versioonid ja sõltuvused Go ja Rust keeltes.
• Uuendatud on kolmandate osapoolte programmide paketid.
• Lahendatud on probleemid tmpfilesd konfiguratsiooniga kmod-5.10-nvidia jaoks.
• Tuftooli installimisel on tagatud sõltuvuste versioonide sidumine.

Allikas: opennet.ru