{"id":100122,"date":"2021-05-08T22:22:43","date_gmt":"2021-05-08T20:22:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-bottlerocket-1-1-distributiva-na-baze-izolirovannyh-kontejnerov"},"modified":"2021-05-08T22:22:43","modified_gmt":"2021-05-08T20:22:43","slug":"vypusk-bottlerocket-1-1-distributiva-na-baze-izolirovannyh-kontejnerov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/novosti-interneta\/vypusk-bottlerocket-1-1-distributiva-na-baze-izolirovannyh-kontejnerov","title":{"rendered":"Bottlerocket 1.1 v\u00e4ljaanne, isoleeritud konteinerite p\u00f5hine jaotus","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

V\u00e4lja tuli Linux-i jaotuse Bottlerocket 1.1.0. See on v\u00e4lja t\u00f6\u00f6tatud Amazoni kaasabil t\u00f5husate ja turvaliste isoleeritud konteinerite k\u00e4ivitamiseks. Jaotuse t\u00f6\u00f6riistakomplekt ja halduskomponendid on kirjutatud keeles Rust ning levitatakse MIT ja Apache 2.0 litsentside alusel. Bottlerocketi k\u00e4ivitamine on toetatud Amazon ECS klastrites ja AWS EKS Kuberneteses, samuti v\u00f5imaldab see kohandatud versioonide ja redaktsioonide loomist, mis lubavad erinevate orkestreerimise t\u00f6\u00f6riistade ja konteinerite runtime'ide kasutamist. <\/p>\n

Distributsioon pakub atomaarset ja automaatselt uuendatavat osalist s\u00fcsteemipilti, mis sisaldab Linuxi tuuma ja minimaalset s\u00fcsteemikeskkonda, sealhulgas ainult konteinerite k\u00e4itamiseks vajalikke komponente. Keskkonnas on kaasatud s\u00fcsteemi halduri systemd, Glibc teek, Buildrooti ehitust\u00f6\u00f6riist, GRUB k\u00e4ivitaja, v\u00f5rgu konfigureerija wicked, isoleeritud konteinerite runtime containerd, konteinerite orkestreerimise platvorm Kubernetes, autentija aws-iam-authenticator ja Amazon ECS agent. <\/p>\n

Konteinerite orkestreerimise t\u00f6\u00f6riistad pakutakse eraldi halduskonteineris, mis on vaikimisi sisse l\u00fclitatud ja mida juhitakse API ja AWS SSM Agendi kaudu. Baaspildis puudub k\u00e4surea liides. server<\/a> SSH ja t\u00f5lgendatavad keeled (nt Python v\u00f5i Perl) — administraatori t\u00f6\u00f6riistad ja silumisseadmed on eraldi teeninduskonteineris, mis on vaikimisi v\u00e4lja l\u00fclitatud. <\/p>\n

Peamine erinevus sarnaste jaotuste, nagu Fedora CoreOS, CentOS\/Red Hat Atomic Host, vahel on esmane keskendumine maksimaalse turvalisuse pakkumisele s\u00fcsteemi kaitsmiseks v\u00f5imalike ohtude eest, haavatavuste keerukuse suurendamiseks operatsioonis\u00fcsteemi komponentides ja konteinerite isoleerimise suurendamiseks. Konteinerid luuakse Linuxi tuuma tavaliste mehhanismide abil — cgroups, nimedespetsialiseerumine ja seccomp. T\u00e4iendava isoleerimise tagamiseks kasutatakse jaotises SELinux'i 'enforcing' re\u017eiimis. <\/p>\n

Juurtasetting on monteeritud ainult lugemisre\u017eiimis, samas kui seadistuste kaust \"\/etc\" monteeritakse tmpfs-s ja taastab algse oleku p\u00e4rast taask\u00e4ivitamist. Failide otsene muutmine kataloogis \"\/etc\", nagu \"\/etc\/resolv.conf\" ja \"\/etc\/containerd\/config.toml\", ei ole toetatud \u2014 seadistuste alalise salvestamise jaoks tuleks kasutada API-d v\u00f5i funktsionaalsust viia eraldi konteineritesse. Juurtasettingu integriteedi kr\u00fcptograafiliseks t\u00f5estamiseks on kasutusel dm-verity moodul, ja kui tuvastatakse andmete muutmise katse plokkseadmestiku tasemel, taask\u00e4ivitub s\u00fcsteem. <\/p>\n

Enamik s\u00fcsteemikomponente on kirjutatud Rusti keeles, mis pakub m\u00e4lu ohutu k\u00e4sitlemise vahendeid, v\u00e4ltides haavatavusi, mis tulenevad m\u00e4lupiiri \u00fcletamisest, nullviidete deindeksimisest ja m\u00e4lupiiri \u00fcletamisest. Vaikimisi kompileerimisre\u017eiimid on \"\u2014enable-default-pie\" ja \"\u2014enable-default-ssp\", et aktiveerida t\u00e4itmise failide aadressiruumi randomiseerimine (PIE) ja kaitse virna \u00fclevoolu eest, kasutades kanarisildi asendusi. C\/C++ keeles kirjutatud pakettide jaoks lisatakse veel lipud \"-Wall\", \"-Werror=format-security\", \"-Wp,-D_FORTIFY_SOURCE=2\", \"-Wp,-D_GLIBCXX_ASSERTIONS\" ja \"-fstack-clash-protection\". <\/p>\n

Uues v\u00e4ljaandes: <\/p>\n