{"id":101560,"date":"2021-10-07T10:23:00","date_gmt":"2021-10-07T08:23:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-bottlerocket-1-3-distributiva-na-baze-izolirovannyh-kontejnerov"},"modified":"2021-10-07T10:23:00","modified_gmt":"2021-10-07T08:23:00","slug":"vypusk-bottlerocket-1-3-distributiva-na-baze-izolirovannyh-kontejnerov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/vypusk-bottlerocket-1-3-distributiva-na-baze-izolirovannyh-kontejnerov","title":{"rendered":"Bottlerocket 1.3 v\u00e4ljaanne, isolatsioonikonteinerite p\u00f5hine distributiiv","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Ilmunik on v\u00e4lja antud Linuxi jaotuse Bottlerocket 1.3.0, mille arendamisel osaleb ettev\u00f5te Amazon, et t\u00f5husalt ja turvaliselt k\u00e4itada isoleeritud konteinerite rakendusi. Jaotuse t\u00f6\u00f6riistad ja juhtimis komponendid on kirjutatud Rusti ning neid jaotatakse MIT ja Apache 2.0 litsentside alusel. Bottlerocket'i k\u00e4itamine on toetatud Amazon ECS, VMware ja AWS EKS Kubernetes klasterites, samuti kohandatud ehituste ja v\u00e4ljaannete loomine, mis v\u00f5imaldab kasutada erinevaid orkestreerimise ja konteinerite runtime t\u00f6\u00f6riistu. <\/p>\n

Jaotus pakub atomaarset ja automaatselt uuenevat, \u00fcheosalise s\u00fcsteemi pilti, mis sisaldab Linuxi tuuma ja minimaalset s\u00fcsteemi keskkonda, millel on ainult vajalikud komponendid konteinerite k\u00e4itamiseks. Keskkonnas on kasutusel s\u00fcsteemihaldur systemd, Glibc raamatukogu, Buildrooti koostamisriistade komplekt, GRUB k\u00e4ivitaja, v\u00f5rgukonfiguratsiooni t\u00f6\u00f6riist wicked, konteinerite eraldatamise t\u00f6\u00f6aeg containerd, konteinerite orkestreerimise platvorm Kubernetes, aws-iam-authenticator autentimisriist ja Amazon ECS-agent. <\/p>\n

Konteinerite orkestreerimise t\u00f6\u00f6riistad tarnitakse eraldi halduskonteineris, mis l\u00fclitatakse vaikimisi sisse ja mida hallatakse l\u00e4bi API ja AWS SSM Agendi. Aluspildis ei ole k\u00e4surea t\u00f5lgendajat, server<\/a> SSH ja t\u00f5lgitavad keel(ed) (n\u00e4iteks ei ole Pythonit ega Perl'i) \u2014 administraatori ja debugimise vahendid on eraldi teeninduskonteinerisse paigutatud, mis vaikimisi on v\u00e4lja l\u00fclitatud. <\/p>\n

Peamine erinevus sarnaste distributsioonide, nagu Fedora CoreOS, CentOS\/Red Hat Atomic Host, vahel on suunatus maksimaalse turvalisuse tagamisele, et tugevdada s\u00fcsteemi kaitset v\u00f5imalike ohtude eest, raskendada haavatavuste \u00e4rakasutamist OS komponentides ning suurendada konteinerite isoleeritust. Konteinerid luuakse Linuxi tuuma tavaliste mehhanismide abil \u2014 cgroups, nimede ruumid ja seccomp. T\u00e4iendava isoleerituse tagamiseks kasutatakse distributsioonis SELinuxi 'enforcing' re\u017eiimis. <\/p>\n

Juurdosa monteeritakse ainult lugemisre\u017eiimis ja seadistuste jagu \/etc monteeritakse tmpfs-i ning taastab algse seisundi p\u00e4rast taask\u00e4ivitamist. Otsene failide muutmine kataloogis \/etc, nagu \/etc\/resolv.conf ja \/etc\/containerd\/config.toml, ei ole toetatud \u2014 p\u00fcsivate seadistuste s\u00e4ilitamiseks tuleks kasutada API-d v\u00f5i viia funktsionaalsus eraldi konteineritesse. Juurdosa terviklikkuse kr\u00fcptograafiliseks kontrollimiseks kasutatakse moodulit dm-verity ja andmete muudatuste tuvastamise korral plokiseadmest taask\u00e4ivitub s\u00fcsteem. <\/p>\n

Enamik s\u00fcsteemikomponente on kirjutatud Rust keeles, mis pakub m\u00e4lu ohutuks kasutamiseks t\u00f6\u00f6riistu, et v\u00e4ltida haavatavusi, mis tulenevad m\u00e4lualadele juurdep\u00e4\u00e4sust p\u00e4rast nende vabastamist, nullviidete dereferentsimist ja puhverpiirist v\u00e4lja minemisest. Vaikimisi kasutatakse ehitamisel kompileerimisre\u017eiime '--enable-default-pie' ja '--enable-default-ssp', et kaasata t\u00e4idetavate failide aadressiruumi randomiseerimine (PIE) ja kaitse virna \u00fclevoolu eest kanarik m\u00e4rkide asendamise kaudu. C\/C++ keeles kirjutatud pakettide jaoks aktiveeritakse t\u00e4iendavad lipud '-Wall', '-Werror=format-security', '-Wp,-D_FORTIFY_SOURCE=2', '-Wp,-D_GLIBCXX_ASSERTIONS' ja '-fstack-clash-protection'. <\/p>\n

Uues v\u00e4ljaandes: <\/p>\n