{"id":94205,"date":"2020-09-13T19:42:49","date_gmt":"2020-09-13T17:42:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/vyshel-minimalistichnyj-linux-distributiv-bottlerocket-dlya-zapuska-kontejnerov-samoe-glavnoe-o-nyom"},"modified":"2020-09-13T19:42:49","modified_gmt":"2020-09-13T17:42:49","slug":"vyshel-minimalistichnyj-linux-distributiv-bottlerocket-dlya-zapuska-kontejnerov-samoe-glavnoe-o-nyom","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/vyshel-minimalistichnyj-linux-distributiv-bottlerocket-dlya-zapuska-kontejnerov-samoe-glavnoe-o-nyom","title":{"rendered":"Ilmus minimalistlik Linuxi distributsioon Bottlerocket, et k\u00e4ivitada konteinerid. K\u00f5ik olulisemad faktid selle kohta.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Ilmus
\n
\nAmazoni ettev\u00f5te teatas<\/a><\/noindex> l\u00f5plikust v\u00e4ljaandest Bottlerocket<\/a><\/noindex> \u2014 spetsialiseeritud jaotamine konteinerite k\u00e4itamiseks ja t\u00f5husaks haldamiseks.<\/p>\n

Bottlerocket (muide, nii nimetatakse v\u00e4ikeseid k\u00e4sitsi valmistatud rakette suitsupulbri abil) ei ole esimene konteinerite operatsioonis\u00fcsteem, kuid t\u00f5en\u00e4oliselt saavutab ta laialdase kasutuse t\u00e4nu vaikimisi integreerimisele AWS teenustega. Kuigi s\u00fcsteem on suunatud Amazoni pilvele, v\u00f5imaldab avatud l\u00e4htekood selle kogumist igal pool: kohapeal serveris, Raspberry Pi-s, igas konkurentsiv\u00f5imelises pilves ja isegi konteineriteta keskkonnas.<\/p>\n

See on t\u00e4iesti v\u00e4\u00e4rikas asendus CoreOS jaotusele, mille Red Hat matnud on.
\n<\/a><\/noindex>
\nAmazon Web Servicesil on tegelikult juba Amazon Linux, mis hiljuti ilmus teise versioonina: see on \u00fcldotstarbeline jaotus, mida saab k\u00e4ivitada Docker konteineris v\u00f5i Linux KVM, Microsoft Hyper-V ja VMware ESXi h\u00fcperviisoritega. See on optimeeritud AWS pilves t\u00f6\u00f6tamiseks, kuid Bottlerocketi v\u00e4ljumisega soovitavad k\u00f5ik kaasa minna uue s\u00fcsteemi, mis on turvalisem, kaasaegsem ja n\u00f5uab v\u00e4hem ressursse.<\/p>\n

AWS kuulutas Bottlerocketi v\u00e4lja m\u00e4rtsis 2020<\/a><\/noindex>. Ettev\u00f5te tunnustas kohe, et see ei ole esimene \"Linux konteineritele\", tuues inspiratsiooniallikatena v\u00e4lja CoreOS, Rancher OS ja Project Atomic. Arendajad \u00fctlesid, et operatsioonis\u00fcsteem on \"tulemuseks \u00f5ppetundidest, mida oleme ammutanud pikaajaliste tootmisv\u00f5imaluste kaudu Amazonis ning kuue aasta jooksul, kuidas konteinerite k\u00e4itamine toob\".<\/p>\n

Ekstreemne minimalism<\/h1>\n

\nLinux on puhastatud k\u00f5igest, mis pole konteinerite k\u00e4itamiseks vajalik. Selline disain v\u00e4hendab ettev\u00f5tte s\u00f5nul r\u00fcnnaku pinda.<\/p>\n

See t\u00e4hendab, et p\u00f5hikomplekti installitakse v\u00e4hem pakette, mis lihtsustab operatsioonis\u00fcsteemi hooldust ja uuendamist ning v\u00e4hendab s\u00f5ltuvusprobleemide tekkimise t\u00f5en\u00e4osust, v\u00e4hendades ressursikasutust. \u00dcldiselt t\u00f6\u00f6tab k\u00f5ik siin eraldi konteinerite sees, samas kui p\u00f5hisisu on praktiliselt paljas.<\/p>\n

Amazon on eemaldanud k\u00f5ik shellid ja t\u00f5lgendid, v\u00e4listades seel\u00e4bi kasutajate privileegide t\u00f5usu riski. Baaspildis puuduvad minimalistlikkuse ja turvalisuse huvides k\u00e4skluste shell, SSH-server ja interpreteeritavad keeled nagu Python. Administratori t\u00f6\u00f6riistad on viidud eraldi teenindus konteinerisse, mis on vaikimisi v\u00e4lja l\u00fclitatud.<\/p>\n

S\u00fcsteemi haldamine on ette n\u00e4htud kahe meetodi kaudu: API ja orkestreerimise kaudu.<\/p>\n

Pakettide halduri asemel, mis uuendab tarkvara osi, laadib Bottlerocket alla t\u00e4ieliku failis\u00fcsteemi pildi ja taask\u00e4ivitub sellesse. K\u00e4ivitamise eba\u00f5nnestumise korral taastub see automaatselt ning t\u00f6\u00f6koormuse eba\u00f5nnestumine v\u00f5ib algatada k\u00e4sitsi tagasivisu (k\u00e4sk API kaudu).<\/p>\n

Raamistik TUF<\/a><\/noindex> (The Update Framework) laadib v\u00e4rskendused alternatiivsetesse v\u00f5i \"lahutatud\" partitsioonidesse. S\u00fcsteemi jaoks eraldatakse kaks ketta partitsiooni, millest \u00fcks sisaldab aktiivset s\u00fcsteemi ning teine kopeerib v\u00e4rskenduse. Seejuures on juurepartitsioon monteeritud ainult lugemisre\u017eiimis, samas kui partitsioon \/etc<\/code> on monteeritud RAM-i failis\u00fcsteemiga tmpfs<\/a><\/noindex> ja taastab algse oleku p\u00e4rast taask\u00e4ivitamist. Konfiguratsioonifailide otsene muutmine \/etc<\/code> ei ole toetatud: seadete salvestamiseks tuleks kasutada API-d v\u00f5i viia funktsionaalsus eraldi konteineritesse.<\/p>\n

\"Ilmus
\nV\u00e4rskendamise skeem API kaudu<\/i><\/p>\n

Turvalisus<\/h1>\n

\nKonteinerid luuakse Linuxi tuuma sisseehitatud mehhanismide, nagu cgroups, nimeruumid ja seccomp, abil, samas kui sundkontrolli s\u00fcsteem, et tagada t\u00e4iendav isoleeritus, on SELinux<\/a><\/noindex> re\u017eiimis \"enforcing\".<\/p>\n

Vaikimisi on aktiveeritud poliitikad ressursside jagamiseks konteinerite ja tuuma vahel. Binaarid on kaitstud lippudega, et kasutajad v\u00f5i programmid ei saaks neid k\u00e4ivitada. Ja kui keegi p\u00e4\u00e4seb failis\u00fcsteemi, pakub Bottlerocket t\u00f6\u00f6riista muudatuste kontrollimiseks ja j\u00e4lgimiseks.<\/p>\n

\"Kontrollitud k\u00e4ivitamise\" re\u017eiim on realiseeritud funktsiooni device-mapper-verity kaudu (dm-verity<\/a><\/noindex>), mis kontrollib juurpartitsiooni terviklikkust k\u00e4ivitamise ajal. AWS kirjeldab dm-verity't kui \u201eLinuxi tuumafunktsiooni, mis tagab terviklikkuse kontrollimise, et v\u00e4ltida pahatahtlike programmide t\u00f6\u00f6le asumist ops\u00fcsteemis, n\u00e4iteks p\u00f5hikoodeksi \u00fclekirjutamine\u201d.<\/p>\n

S\u00fcsteemis on ka filter eBPF<\/a><\/noindex> (laiendatud BPF, Arendaja Aleksei Starovoitov<\/a><\/noindex>), mis v\u00f5imaldab asendada tuumamooduleid turvalisemate BPF programmidega madala taseme s\u00fcsteemsete operatsioonide jaoks.<\/p>\n

T\u00e4itev mudel
\nKasutaja m\u00e4\u00e4ratud
\nKompileerimine
\nTurvalisus
\nRikkere\u017eiim
\nLigip\u00e4\u00e4s ressurssidele<\/p>\n

Kasutaja<\/b>
\n\u00fclesanne
\njah
\nigal
\nkasutaja \u00f5igused
\nt\u00e4itmise katkestamine
\ns\u00fcsteemik\u00f5ne, viga<\/p>\n

Tuuma<\/b>
\n\u00fclesanne
\nei
\nstaatiline
\nei
\ntuumapaanika
\notsene<\/p>\n

BPF<\/b>
\ns\u00fcndmus
\njah
\nJIT, CO-RE
\nverifikatsioon, JIT
\nveateade
\npiiratud abistajad<\/p>\n

\nBPF erineb tavalisest kasutaja v\u00f5i tuuma taseme koodist, allikas<\/a><\/noindex><\/i><\/p>\n

AWS teatas, et Bottlerocket \u201erakendab operatsioonimudelit, mis veelgi suurendab turvalisust, takistades \u00fchendusi tootmisserveritega administraatori privileegidega\u201d ja \u201esobib suurtele jaotatud s\u00fcsteemidele, mille puhul on piiratud kontroll iga \u00fcksiku hosti \u00fcle\u201d.<\/p>\n

S\u00fcsteemi administraatoritele on ette n\u00e4htud administraatori konteiner. Kuid AWS ei arva, et administraator peab sageli Bottlerocketis t\u00f6\u00f6tama: \u201eSisenemine \u00fcksikusse Bottlerocketi instantsse on ette n\u00e4htud harvade toimingute jaoks: laiendatud t\u00f5rkeotsingu ja veaotsingu jaoks,\u201d \u2014 \u00fctlevad<\/a><\/noindex> arendajad.<\/p>\n

Rust keel<\/h1>\n

\nOS-t\u00f6\u00f6riistakohv on peamiselt kirjutatud Rust'is. See keel v\u00e4hendab oma olemuselt m\u00e4lule ligip\u00e4\u00e4su kahjustamise t\u00f5en\u00e4osust<\/a><\/noindex>, samuti k\u00f5rvaldades l\u00f5ppede vahelist v\u00f5istlemist<\/a><\/noindex>.<\/p>\n

Kogumise ajal kasutatakse vaikimisi lippude --enable-default-pie<\/code> ja --enable-default-ssp<\/code> t\u00e4idetud executables'i (asukoht s\u00f5ltumatu t\u00e4idetav<\/a><\/noindex>, PIE) ja virna \u00fclekoormuse kaitse.<\/p>\n

C\/C++ pakettide jaoks lisatakse t\u00e4iendavad lipud -Wall<\/code>, -Werror=format-security<\/code>, -Wp,-D_FORTIFY_SOURCE=2<\/code>, -Wp,-D_GLIBCXX_ASSERTIONS<\/code> ja -fstack-clash-protection<\/code>.<\/p>\n

Lisaks Rustile ja C\/C++'le on m\u00f5ned pakettide kirjutatud Go keeles.<\/p>\n

AWS teenustega integreerimine<\/h1>\n

\nErinevus seda t\u00fc\u00fcpi konteinerite ops\u00fcsteemide vahel on see, et Amazon on optimeerinud Bottlerocketi t\u00f6\u00f6tamiseks AWS-is ja integreerimiseks teiste AWS teenustega.<\/p>\n

Kubernetes on k\u00f5ige populaarsem konteinerite orkestreerija, seet\u00f5ttu integreeris AWS enda Enterprise Kubernetes Service'i (EKS). Orkestreerimise t\u00f6\u00f6riistad tulevad eraldi halduskonteineris bottlerocket-control-container<\/a><\/noindex>, mis on vaikimisi sisse l\u00fclitatud ja mida hallatakse API ja AWS SSM Agendi kaudu.<\/p>\n

Huvitav on n\u00e4ha, kas Bottlerocket t\u00f5useb, arvestades, et m\u00f5ned sarnased algatused on minevikus eba\u00f5nnestunud. N\u00e4iteks j\u00e4i Vmware\u2019i PhotonOS kasutamatuks ning RedHat ostis CoreOS ja sulges projekti<\/a><\/noindex>, mida peeti antud valdkonna pioneeriks.<\/p>\n

Bottlerocket\u2019i integreerimine AWS teenustesse muudab selle s\u00fcsteemi omaette ainulaadseks. V\u00f5ib-olla on see peamine p\u00f5hjus, miks m\u00f5ned kasutajad v\u00f5ivad eelistada Bottlerocket\u2019i teistele distributsioonidele nagu CoreOS v\u00f5i Alpine. S\u00fcsteem on algselt projekteeritud t\u00f6\u00f6tama EKS ja ECS-iga, kuid korrates, see ei ole kohustuslik. Esiteks, Bottlerocket\u2019i saab ise kokku panna<\/a><\/noindex> ja kasutada n\u00e4iteks hosted-lahendusena. Teiseks s\u00e4ilitavad EKS ja ECS kasutajad siiski operatsioonis\u00fcsteemi valikuv\u00f5imaluse.<\/p>\n

Bottlerocket\u2019i l\u00e4htekood on avalikustatud GitHubis Apache 2.0 litsentsi all. Arendajad juba reaktsioonid vigade raportitele ja funktsioonip\u00e4ringutele<\/a><\/noindex>.<\/p>\n

<\/p>\n

Reklaami \u00f5igustes<\/h4>\n

\nVDSina<\/b> pakub VDS p\u00e4evase tasuga<\/a><\/noindex>. Iga\u00fcks saab installida mistahes operatsioonis\u00fcsteemi, sealhulgas oma pildist. Iga server on \u00fchendatud 500 Mbit internetikanaliga ja on tasuta kaitstud DDoS r\u00fcnnakute eest! <\/p>\n

\"Ilmus<\/a><\/noindex>
\n
Allikas: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Amazon \u043e\u0431\u044a\u044f\u0432\u0438\u043b\u0430 \u043e \u0444\u0438\u043d\u0430\u043b\u044c\u043d\u043e\u043c \u0440\u0435\u043b\u0438\u0437\u0435 Bottlerocket \u2014 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u0434\u0438\u0441\u0442\u0440\u0438\u0431\u0443\u0442\u0438\u0432\u0430 \u0434\u043b\u044f \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u043e\u0432 \u0438 \u044d\u0444\u0444\u0435\u043a\u0442\u0438\u0432\u043d\u043e\u0433\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0438\u043c\u0438. Bottlerocket (\u043a\u0441\u0442\u0430\u0442\u0438, \u0442\u0430\u043a \u043d\u0430\u0437\u044b\u0432\u0430\u044e\u0442 \u043c\u0435\u043b\u043a\u0438\u0435 \u0441\u0430\u043c\u043e\u0434\u0435\u043b\u044c\u043d\u044b\u0435 \u0440\u0430\u043a\u0435\u0442\u044b \u043d\u0430 \u0434\u044b\u043c\u043d\u043e\u043c \u043f\u043e\u0440\u043e\u0445\u0435) \u2014 \u043d\u0435 \u043f\u0435\u0440\u0432\u0430\u044f \u041e\u0421 \u0434\u043b\u044f \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u043e\u0432, \u043d\u043e \u0432\u043f\u043e\u043b\u043d\u0435 \u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e, \u0447\u0442\u043e \u043e\u043d\u0430 \u043f\u043e\u043b\u0443\u0447\u0438\u0442 \u0448\u0438\u0440\u043e\u043a\u043e\u0435 \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u0435 \u0431\u043b\u0430\u0433\u043e\u0434\u0430\u0440\u044f \u0434\u0435\u0444\u043e\u043b\u0442\u043d\u043e\u0439 \u0438\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u0438 \u0441 \u0441\u0435\u0440\u0432\u0438\u0441\u0430\u043c\u0438 AWS. \u0425\u043e\u0442\u044f \u0441\u0438\u0441\u0442\u0435\u043c\u0430 \u043e\u0440\u0438\u0435\u043d\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0430 \u043d\u0430 \u043e\u0431\u043b\u0430\u043a\u043e Amazon, \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u0439 \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u0439 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":94206,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-94205","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47V\u00e4lja on tulnud minimalistlik Linuxi distributsioon Bottlerocket konteinerite k\u00e4ivitamiseks. K\u00f5ige olulisem sellest | ProHoster","description":"","canonical_url":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/vyshel-minimalistichnyj-linux-distributiv-bottlerocket-dlya-zapuska-kontejnerov-samoe-glavnoe-o-nyom","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"et_EE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0412\u044b\u0448\u0435\u043b \u043c\u0438\u043d\u0438\u043c\u0430\u043b\u0438\u0441\u0442\u0438\u0447\u043d\u044b\u0439 Linux-\u0434\u0438\u0441\u0442\u0440\u0438\u0431\u0443\u0442\u0438\u0432 Bottlerocket \u0434\u043b\u044f \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u043e\u0432. \u0421\u0430\u043c\u043e\u0435 \u0433\u043b\u0430\u0432\u043d\u043e\u0435 \u043e \u043d\u0451\u043c | ProHoster","og:url":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/vyshel-minimalistichnyj-linux-distributiv-bottlerocket-dlya-zapuska-kontejnerov-samoe-glavnoe-o-nyom","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-09-13T17:42:49+00:00","article:modified_time":"2020-09-13T17:42:49+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"94205","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 11:31:27","updated":"2022-10-03 07:42:47","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/posts\/94205","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/comments?post=94205"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/posts\/94205\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/media\/94206"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/media?parent=94205"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/categories?post=94205"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/et\/wp-json\/wp\/v2\/tags?post=94205"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}