बॉटलरॉकेट 1.3 का विमोचन, पृथक कंटेनरों पर आधारित वितरण

यह अंक प्रकाशित हो चुका है। Linuxबॉटलरोकेट 1.3.0, अमेज़न के साथ साझेदारी में विकसित एक डिस्ट्रीब्यूशन है, जिसे अलग-थलग कंटेनरों को कुशलतापूर्वक और सुरक्षित रूप से चलाने के लिए डिज़ाइन किया गया है। इस डिस्ट्रीब्यूशन के टूलिंग और कंट्रोल कंपोनेंट रस्ट में लिखे गए हैं और एमआईटी और अपाचे 2.0 लाइसेंस के तहत लाइसेंस प्राप्त हैं। बॉटलरोकेट अमेज़न ईसीएस, वीएमवेयर और एडब्ल्यूएस ईकेएस कुबेरनेट्स क्लस्टर पर चलता है, साथ ही कस्टम बिल्ड और एडिशन का भी समर्थन करता है जो विभिन्न कंटेनर ऑर्केस्ट्रेशन और रनटाइम टूल के उपयोग को सपोर्ट करते हैं।

यह वितरण कर्नेल सहित एक परमाणु रूप से और स्वचालित रूप से अद्यतन होने वाली अविभाज्य सिस्टम छवि प्रदान करता है। Linux और एक न्यूनतम सिस्टम वातावरण, जिसमें कंटेनर चलाने के लिए आवश्यक घटक ही शामिल हैं। इस वातावरण में सिस्टमड सिस्टम मैनेजर, ग्लिबक लाइब्रेरी, बिल्डरूट बिल्ड टूलचेन, जीआरयूबी बूटलोडर, विकेड नेटवर्क कॉन्फ़िगरेटर, पृथक कंटेनरों के लिए कंटेनरड रनटाइम, कुबेरनेट्स कंटेनर ऑर्केस्ट्रेशन प्लेटफ़ॉर्म, एडब्ल्यूएस-आईएएम-ऑथेंटिकेटर प्रमाणीकरणकर्ता और अमेज़ॅन ईसीएस एजेंट शामिल हैं।

कंटेनर ऑर्केस्ट्रेशन टूल एक अलग मैनेजमेंट कंटेनर में दिए जाते हैं, जो डिफ़ॉल्ट रूप से सक्षम होता है और API और AWS SSM एजेंट के माध्यम से प्रबंधित किया जाता है। बेस इमेज में कमांड शेल शामिल नहीं है। सेवक SSH और व्याख्यायित भाषाएँ (जैसे कि Python या Perl नहीं) - प्रशासनिक और डिबगिंग उपकरण एक अलग सेवा कंटेनर में स्थित हैं, जो डिफ़ॉल्ट रूप से अक्षम है।

फेडोरा कोरओएस जैसे समान वितरणों से मुख्य अंतर यह है कि CentOSरेड हैट एटॉमिक होस्ट मुख्य रूप से संभावित खतरों से सिस्टम की सुरक्षा बढ़ाकर, ऑपरेटिंग सिस्टम घटकों में कमजोरियों के शोषण को जटिल बनाकर और कंटेनर अलगाव को बढ़ाकर अधिकतम सुरक्षा प्रदान करने पर केंद्रित है। कंटेनर नेटिव कर्नेल तंत्र का उपयोग करके बनाए जाते हैं। Linux — cgroups, namespaces, और seccomp। अतिरिक्त अलगाव के लिए, वितरण SE का उपयोग करता है।Linux "लागू करने" मोड में।

रूट विभाजन केवल-पठन मोड में आरोहित है, और /etc सेटिंग्स वाले विभाजन को tmpfs में आरोहित किया गया है और पुनः आरंभ करने के बाद इसकी मूल स्थिति में पुनर्स्थापित किया गया है। /etc निर्देशिका में फ़ाइलों का प्रत्यक्ष संशोधन, जैसे /etc/resolv.conf और /etc/containerd/config.toml, समर्थित नहीं है - सेटिंग को स्थायी रूप से सहेजने के लिए, आपको API का उपयोग करना चाहिए या कार्यात्मकता को अलग-अलग कंटेनर में ले जाना चाहिए। रूट विभाजन की अखंडता के क्रिप्टोग्राफ़िक सत्यापन के लिए, dm-verity मॉड्यूल का उपयोग किया जाता है, और यदि ब्लॉक डिवाइस स्तर पर डेटा को संशोधित करने का प्रयास किया जाता है, तो सिस्टम रीबूट हो जाता है।

अधिकांश सिस्टम घटक रस्ट में लिखे गए हैं, जो मेमोरी क्षेत्र को मुक्त करने के बाद, अशक्त बिंदुओं को संदर्भित करने और बफर ओवररन के कारण होने वाली कमजोरियों से बचने के लिए मेमोरी-सुरक्षित उपकरण प्रदान करता है। निर्माण करते समय, संकलन मोड "--सक्षम-डिफ़ॉल्ट-पाई" और "--सक्षम-डिफ़ॉल्ट-एसएसपी" का उपयोग डिफ़ॉल्ट रूप से निष्पादन योग्य पता स्थान रैंडमाइजेशन (पीआईई) को सक्षम करने और कैनरी लेबल प्रतिस्थापन के माध्यम से स्टैक ओवरफ्लो के खिलाफ सुरक्षा के लिए किया जाता है। C/C++ में लिखे गए पैकेजों के लिए, "-वॉल", "-वॉरर=फॉर्मेट-सिक्योरिटी", "-Wp,-D_FORTIFY_SOURCE=2", "-Wp,-D_GLIBCXX_ASSERTIONS" और "-फस्टैक-क्लैश" फ्लैग अतिरिक्त रूप से हैं शामिल - सुरक्षा।

नई रिलीज में:

• डॉकर और रनटाइम कंटेनरड टूल्स (CVE-2021-41089, CVE-2021-41091, CVE-2021-41092, CVE-2021-41103) में गलत तरीके से एक्सेस अधिकारों को सेट करने से संबंधित कमजोरियों को ठीक किया गया, जिससे अनधिकृत उपयोगकर्ताओं को बेस डायरेक्टरी से परे जाने और बाहरी प्रोग्राम निष्पादित करने की अनुमति मिल गई।
• कुबेलेट और प्लूटो में जोड़ा गया IPv6 समर्थन.
• कंटेनर की सेटिंग्स बदलने के बाद उसे पुनः आरंभ करने की क्षमता प्रदान की गई।
• eni-max-pods पैकेज को Amazon EC2 M6i इंस्टैंसेस को समर्थन देने के लिए अद्यतन किया गया है।
• open-vm-tools अब सिलियम टूलकिट पर आधारित डिवाइस फ़िल्टर का समर्थन करता है।
• x86_64 प्लेटफ़ॉर्म के लिए, एक हाइब्रिड बूट मोड कार्यान्वित किया गया है (EFI और BIOS के समर्थन के साथ)।
• रस्ट भाषा के लिए अद्यतन पैकेज संस्करण और निर्भरताएँ।
• Kubernetes 8 पर आधारित aws-k1.17s-1.17 वितरण संस्करण को हटा दिया गया है। Kubernetes 8 के समर्थन के साथ aws-k1.21s-1.21 संस्करण का उपयोग करने की अनुशंसा की जाती है। k8s संस्करण cgroup runtime.slice और system.slice सेटिंग्स का उपयोग करते हैं।

स्रोत: opennet.ru