A Microsoft közzétette az Azure Linux 3.0.20241203 disztribúció frissítését. A disztribúció egy univerzális alapplatformként fejlődik Linux-környezetek számára, amelyeket felhőinfrastruktúrákban, edge-rendszerekben és különböző Microsoft-szolgáltatásokban használnak. A projekt saját fejlesztései MIT licenc alatt kerülnek terjesztésre. A csomagok összeállítása a aarch64 és x86_64 architektúrákra történik. A telepítő image mérete 750 MB.
Az új verzióban található változások:
- Az iptables csomagszűrő át lett alakítva, hogy a parancsok feldolgozása a szabályok bytekódba való fordításán keresztül történjen nftables-ra (alapértelmezés szerint az iptables-legacy helyett az iptables-nft csomag van használatban).
- Az Aarch64 rendszerek számára egy kiegészítő csomag érkezett kernel-64k kernellel, amely nagy memóriaoldalakat használ, 64KByte méretben (a kernel a CONFIG_ARM64_64K_PAGES opcióval lett összeállítva).
- A tdnf csomagkezelőbe (a C libs alapú dnf analógja) bekerült az „installonlypkgs” beállítás támogatása, amely a kernel-64k telepítésének megszervezésére szolgál.
- A systemd-networkd használata során engedélyezve lett a livenet rootfs feldolgozása a Dracutból.
- Hozzáadva lett az Intel Ethernet Connection E800 hálózati adapterekhez készült illesztőprogram.
- A fluent-bit naplókezelőbe integrálva lett a Lua nyelv támogatása.
- A kexec mechanizmuson keresztül betöltött kernellek digitális aláírásának ellenőrzése ki lett alakítva.
- A konténer összeállítások meghatározásához a „/.dockerenv” fájl ellenőrzése helyett a systemd-detect-virt segédeszközt alkalmazzák.
- Frissítve lettek a csomagok verziói, többek között a Linux kernel 6.6.57, shim 15.8, SymCrypt 103.6.0, Valkey (Redis fork) 8.0.1, Go 1.23.3, MariaDB 10.11.10, PostgreSQL 16.5.
Az Azure Linux disztribúció egy kisméretű, tipikus alapcsomagot biztosít, amely univerzális alapként szolgál konténerek, host környezetek és felhőinfrastruktúrákban, valamint edge eszközökön futó szolgáltatások létrehozásához. Bonyolultabb és speciális megoldások további csomagok Azure Linuxra történő telepítésével állíthatók össze, de az ilyen rendszerek alapja változatlan marad, ami megkönnyíti a karbantartást és a frissítések előkészítését.
Az Azure Linux a WSLg mini disztribúció alapjaként van használva, amelyben a grafikus stack összetevői biztosítják a Linux GUI alkalmazások futtatását a WSL2 (Windows Subsystem for Linux) alapú környezetekben. A WSLg bővített funkcionalitása további csomagok beillesztésén keresztül valósul meg, amelyek összetett szerverrel Weston, XWayland, PulseAudio és FreeRDP.
A szolgáltatások és a rendszerindítás kezelésére a systemd rendszerkezelőt használják. A csomagkezeléshez RPM és DNF csomagkezelők állnak rendelkezésre. Az SSH-szerver alapértelmezés szerint nem aktiválódik. A disztribúció telepítéséhez egy telepítő áll rendelkezésre, amely működhet szöveges és grafikus módokban is. A telepítőben lehetőség van a telepítés teljes vagy alap csomagkészlettel, valamint felhasználói név, diszkpartíció kiválasztására.
Az Azure Linux build rendszer lehetővé teszi egyedi RPM-csomagok generálását SPEC-fájlok és forráskódok alapján, valamint monolitikus rendszerképek létrehozását az rpm-ostree eszközkészlettel, amely atomikus frissítést tesz lehetővé anélkül, hogy külön csomagokra bontanánk. Ennek megfelelően két frissítési modellt támogat: külön csomagok frissítése és az egész rendszerkép újraépítése és frissítése. Elérhető egy tároló, amely körülbelül 3000 már összeállított RPM-csomagot tartalmaz, és amelyet saját képek összeállításához használhat, konfigurációs fájl alapján.
Az alap platform csak a legszükségesebb összetevőket tartalmazza, és minimalizált memóriá- és lemezfelhasználásra, valamint gyors rendszerindításra optimalizált. A projekt a 'maximális biztonság alapértelmezettként' megközelítést alkalmazza, ami különböző további mechanizmusok integrálását foglalja magában a védelem növelése érdekében:
- Rendszerv calls szűrése a seccomp mechanizmus segítségével.
- Lemezpartíciók titkosítása.
- Csomagok ellenőrzése digitális aláírás alapján.
- Címzés terének randomizálása.
- Védelem a szimbolikus linkekkel, mmap-pel, /dev/mem és /dev/kmem kapcsolatos támadások ellen.
- Csak olvasási mód és kód végrehajtásának tilalma a memória területein, ahol a kernel és modulok adat szegmensei találhatók.
- Lehetőség a kernemodulok betöltésének letiltására a rendszer inicializálása után.
- Az iptables használata a hálózati csomagok szűrésére.
- A verem túlcsordulás, a puffer túlcsordulás és a formázási problémák elleni védelmi módok engedélyezése a fordítás során (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro).
Forrás: opennet.ru
