La version 1.1.0 de la distribution Linux Bottlerocket, d\u00e9velopp\u00e9e avec la participation d'Amazon, est disponible pour un lancement efficace et s\u00e9curis\u00e9 de conteneurs isol\u00e9s. Les outils et composants de gestion de la distribution sont \u00e9crits en Rust et sont distribu\u00e9s sous les licences MIT et Apache 2.0. Bottlerocket prend en charge le lancement dans les clusters Amazon ECS et AWS EKS Kubernetes, ainsi que la cr\u00e9ation de builds et \u00e9ditions personnalis\u00e9es, permettant l'utilisation de divers outils d'orchestration et de runtime pour les conteneurs. <\/p>\n
La distribution fournit une image syst\u00e8me atomique et automatiquement mise \u00e0 jour, incluant le noyau Linux et un environnement syst\u00e8me minimal, ne comprenant que les composants n\u00e9cessaires au lancement de conteneurs. L'environnement utilise le gestionnaire syst\u00e8me systemd, la biblioth\u00e8que Glibc, les outils de construction Buildroot, le chargeur d'amor\u00e7age GRUB, le configurateur r\u00e9seau wicked, le runtime pour conteneurs isol\u00e9s containerd, la plateforme d'orchestration de conteneurs Kubernetes, l'authentificateur aws-iam-authenticator et l'agent Amazon ECS. <\/p>\n
Les outils d'orchestration de conteneurs sont fournis dans un conteneur de gestion distinct, qui est activ\u00e9 par d\u00e9faut et g\u00e9r\u00e9 via l'API et l'AWS SSM Agent. L'image de base ne comprend pas de shell. serveur<\/a> SSH et les langages interpr\u00e9t\u00e9s (par exemple, pas Python ou Perl) \u2014 les outils pour l'administrateur et les outils de d\u00e9bogage sont regroup\u00e9s dans un conteneur de service distinct, qui est d\u00e9sactiv\u00e9 par d\u00e9faut. <\/p>\n La principale diff\u00e9rence par rapport \u00e0 des distributions similaires, comme Fedora CoreOS ou CentOS\/Red Hat Atomic Host, est l'orientation initiale vers la fourniture d'une s\u00e9curit\u00e9 maximale dans le contexte du renforcement de la protection du syst\u00e8me contre d'\u00e9ventuelles menaces, de la complexit\u00e9 d'exploitation des vuln\u00e9rabilit\u00e9s dans les composants du syst\u00e8me d'exploitation et de l'augmentation de l'isolation des conteneurs. Les conteneurs sont cr\u00e9\u00e9s \u00e0 l'aide des m\u00e9canismes standards du noyau Linux \u2014 cgroups, espaces de noms et seccomp. Pour une isolation suppl\u00e9mentaire, le syst\u00e8me utilise SELinux en mode \u00ab enforcing \u00bb. <\/p>\n La partition racine est mont\u00e9e en mode lecture seule, tandis que la partition avec les configurations \/etc est mont\u00e9e en tmpfs et restaure son \u00e9tat d'origine apr\u00e8s un red\u00e9marrage. La modification directe des fichiers dans le r\u00e9pertoire \/etc, tels que \/etc\/resolv.conf et \/etc\/containerd\/config.toml, n'est pas prise en charge \u2014 pour conserver les configurations de mani\u00e8re permanente, il convient d'utiliser l'API ou de d\u00e9placer les fonctionnalit\u00e9s dans des conteneurs distincts. Pour la v\u00e9rification cryptographique de l'int\u00e9grit\u00e9 de la partition racine, le module dm-verity est utilis\u00e9, et en cas de d\u00e9tection d'une tentative de modification des donn\u00e9es au niveau du p\u00e9riph\u00e9rique de bloc, le syst\u00e8me red\u00e9marre. <\/p>\n La plupart des composants syst\u00e8me sont \u00e9crits en Rust, qui fournit des moyens s\u00fbrs de g\u00e9rer la m\u00e9moire, \u00e9vitant ainsi les vuln\u00e9rabilit\u00e9s caus\u00e9es par l'acc\u00e8s \u00e0 la m\u00e9moire apr\u00e8s sa lib\u00e9ration, la d\u00e9r\u00e9f\u00e9renciation de pointeurs nuls et le d\u00e9passement de tampon. Par d\u00e9faut, les modes de compilation \u00ab --enable-default-pie \u00bb et \u00ab --enable-default-ssp \u00bb sont appliqu\u00e9s pour inclure la randomisation de l'espace d'adressage pour les fichiers ex\u00e9cutables (PIE) et la protection contre le d\u00e9passement de pile via l'insertion de marqueurs canaris. Pour les paquets \u00e9crits en C\/C++, des drapeaux suppl\u00e9mentaires \u00ab -Wall \u00bb, \u00ab -Werror=format-security \u00bb, \u00ab -Wp,-D_FORTIFY_SOURCE=2 \u00bb, \u00ab -Wp,-D_GLIBCXX_ASSERTIONS \u00bb et \u00ab -fstack-clash-protection \u00bb sont \u00e9galement inclus. <\/p>\n Dans cette nouvelle version : <\/p>\n\n