La société Microsoft a renommé la distribution CBL-Mariner en Azure Linux. Auparavant, le nom Azure Linux était utilisé pour une version spécialisée installée dans Azure Kubernetes Service (AKS), tandis que la plateforme générale de création de distributions se développait sous le nom de CBL-Mariner (Common Base Linux Mariner). Il y a quelques jours, Microsoft a renommé le dépôt CBL-Mariner en azurelinux, a modifié les noms des utilitaires et a remplacé les références à CBL-Mariner dans la documentation par Azure Linux. Cela a conduit à la formation de la première version de la plateforme sous le nouveau nom — Azure Linux 2.0.20240301, qui corrige les erreurs et vulnérabilités accumulées dans les applications.
Le projet vise à unifier les solutions Linux utilisées par Microsoft et à simplifier la mise à jour des systèmes Linux destinés à divers usages. Entre autres, la distribution est utilisée dans l'infrastructure cloud, les systèmes edge et divers services Microsoft. Les développements du projet sont distribués sous la licence MIT. Les paquets sont formés pour les architectures aarch64 et x86_64. Une image ISO de démarrage a été préparée (860 Mo) pour l'architecture x86_64.
La distribution Azure Linux fournit un petit ensemble standard de paquets de base, servant de fondation universelle pour créer des conteneurs, des environnements hôtes et des services exécutés dans des infrastructures cloud et sur des appareils edge. Des solutions plus complexes et spécialisées peuvent être créées en ajoutant des paquets supplémentaires au-dessus d'Azure Linux, mais la base de tous ces systèmes reste inchangée, ce qui simplifie la maintenance et la préparation des mises à jour.
Par exemple, Azure Linux est utilisé comme base pour la mini-distribution WSLg, qui fournit des composants de la pile graphique pour exécuter des applications GUI Linux dans des environnements basés sur la sous-système WSL2 (Windows Subsystem for Linux). Les fonctionnalités avancées de WSLg sont réalisées grâce à l'inclusion de paquets supplémentaires avec un composite. serveur Weston, XWayland, PulseAudio et FreeRDP.
Le système de construction Azure Linux permet de générer à la fois des paquets RPM individuels à partir de fichiers SPEC et de textes sources, ainsi que des images système monolithiques, formées à l'aide de l'outil rpm-ostree et mises à jour de manière atomique sans décomposition en paquets individuels. Par conséquent, deux modèles de livraison des mises à jour sont supportés : par la mise à jour de paquets individuels et par la reconstruction et la mise à jour de l'ensemble de l'image système. Un dépôt est disponible, incluant environ 3000 RPM déjà construits, qui peut être utilisé pour composer vos propres images sur la base d'un fichier de configuration.
La plateforme de base inclut uniquement les composants les plus nécessaires et est optimisée pour une consommation minimale de mémoire et d'espace disque, tout en assurant une grande rapidité de chargement. Le projet adopte une approche de « sécurité maximale par défaut », impliquant l'activation de divers mécanismes supplémentaires pour améliorer la protection :
- Filtrage des appels système via le mécanisme seccomp.
- Chiffrement des partitions de disque.
- Vérification des paquets par signature électronique.
- Randomisation de l'espace d'adresses.
- Protection contre les attaques liées aux liens symboliques, mmap, /dev/mem et /dev/kmem.
- Mode lecture seule et interdiction de l'exécution de code dans les zones mémoire où se trouvent les segments de données du noyau et des modules.
- Option pour interdire le chargement des modules du noyau après l'initialisation du système.
- Utilisation d'iptables pour filtrer les paquets réseau.
- Activation lors de la compilation des modes de protection contre les débordements de pile, les débordements de tampon et les problèmes de formatage de chaînes (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro).
Pour la gestion des services et du chargement, le gestionnaire de système systemd est utilisé. Les gestionnaires de paquets RPM et DNF sont fournis pour la gestion des paquets. Le serveur SSH n'est pas activé par défaut. Un installateur est disponible pour installer la distribution, et peut fonctionner en modes texte ou graphique. L'installateur offre la possibilité d'une installation avec un ensemble complet ou de base de paquets, et propose une interface pour choisir la partition disque, le nom d'hôte et créer des utilisateurs.
En plus des changements liés à CBL-Mariner et Azure Linux, la société Microsoft a également présenté une nouvelle version de la plateforme Azure Sphere 24.03, construite sur la base du noyau Linux et destinée à créer des dispositifs Internet des objets sur la base de microcontrôleurs à faible consommation d'énergie (MCU, microcontroller unit) avec des sous-systèmes périphériques intégrés. L'une des caractéristiques de la plateforme est le sous-système Pluton, conçu pour fournir des moyens matériels pour le chiffrement, le stockage de clés privées et l'exécution d'opérations cryptographiques complexes. Pluton comprend un processeur spécialisé, un moteur cryptographique, un générateur de nombres aléatoires matériel et un espace de stockage de clés isolé.
Source : opennet.ru
