{"id":100944,"date":"2021-08-08T16:22:42","date_gmt":"2021-08-08T14:22:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-bottlerocket-1-2-distributiva-na-baze-izolirovannyh-kontejnerov"},"modified":"2021-08-08T16:22:42","modified_gmt":"2021-08-08T14:22:42","slug":"vypusk-bottlerocket-1-2-distributiva-na-baze-izolirovannyh-kontejnerov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/news\/vypusk-bottlerocket-1-2-distributiva-na-baze-izolirovannyh-kontejnerov","title":{"rendered":"A Bottlerocket 1.2, az elszigetelt kont\u00e9nerek alap\u00fa disztrib\u00faci\u00f3 kiad\u00e1sa.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Megjelent a Bottlerocket 1.2.0 Linux-disztrib\u00faci\u00f3, amelyet az Amazon k\u00f6zrem\u0171k\u00f6d\u00e9s\u00e9vel fejlesztenek az izol\u00e1lt kont\u00e9nerek hat\u00e9kony \u00e9s biztons\u00e1gos ind\u00edt\u00e1s\u00e1ra. A disztrib\u00faci\u00f3 eszk\u00f6zei \u00e9s vez\u00e9rl\u0151elemei Rust nyelven \u00edr\u00f3dtak, \u00e9s MIT \u00e9s Apache 2.0 licenc alatt ker\u00fclnek forgalomba. T\u00e1mogatott a Bottlerocket ind\u00edt\u00e1sa az Amazon ECS klaszterekben, VMware-ben \u00e9s AWS EKS Kubernetes-ben, valamint a k\u00fcl\u00f6nf\u00e9le orkestr\u00e1ci\u00f3s eszk\u00f6z\u00f6k \u00e9s fut\u00e1si k\u00f6rnyezetek haszn\u00e1lat\u00e1val l\u00e9trehozott egyedi build-ek \u00e9s kiad\u00e1sok. <\/p>\n

A disztrib\u00faci\u00f3 atomikus \u00e9s automatikusan friss\u00edthet\u0151, oszthatatlan rendszerk\u00e9pet biztos\u00edt, amely tartalmazza a Linux magot \u00e9s a minim\u00e1lis rendszerk\u00f6rnyezetet, amely csak a kont\u00e9nerek ind\u00edt\u00e1s\u00e1hoz sz\u00fcks\u00e9ges \u00f6sszetev\u0151ket tartalmazza. A k\u00f6rnyezetben akt\u00edv a systemd rendszerkezel\u0151, a Glibc k\u00f6nyvt\u00e1r, a Buildroot \u00e9p\u00edt\u00e9si eszk\u00f6zk\u00e9szlet, a GRUB ind\u00edt\u00f3program, a wicked h\u00e1l\u00f3zati konfigur\u00e1l\u00f3, az izol\u00e1lt kont\u00e9nerek runtime-ja, a containerd, a Kubernetes kont\u00e9nerork\u00e9sztr\u00e1l\u00f3 platform, az aws-iam-authenticator hiteles\u00edt\u0151 \u00e9s az Amazon ECS \u00fcgyn\u00f6k. <\/p>\n

A kont\u00e9nerorkesztr\u00e1l\u00f3 eszk\u00f6z\u00f6k k\u00fcl\u00f6n vez\u00e9rl\u0151kont\u00e9nerben tal\u00e1lhat\u00f3k, amely alap\u00e9rtelmezetten be van kapcsolva \u00e9s az API-n, valamint az AWS SSM Agent-en kereszt\u00fcl kezelhet\u0151. Az alapk\u00e9pb\u0151l hi\u00e1nyzik a parancssor. szerver<\/a> SSH \u00e9s \u00e9rtelmezett nyelvek (p\u00e9ld\u00e1ul nincs Python vagy Perl) \u2014 az adminisztr\u00e1torok \u00e9s hibakeres\u00e9si eszk\u00f6z\u00f6k k\u00fcl\u00f6n seg\u00e9dkont\u00e9nerbe ker\u00fcltek, amely alap\u00e9rtelmez\u00e9s szerint ki van kapcsolva. <\/p>\n

A hasonl\u00f3 disztrib\u00faci\u00f3kt\u00f3l, mint a Fedora CoreOS, a CentOS\/Red Hat Atomic Host, a f\u0151 k\u00fcl\u00f6nbs\u00e9g a maxim\u00e1lis biztons\u00e1gra val\u00f3 orient\u00e1ci\u00f3, amely c\u00e9lja a rendszer v\u00e9delm\u00e9nek meger\u0151s\u00edt\u00e9se a potenci\u00e1lis fenyeget\u00e9sekkel szemben, a sebezhet\u0151s\u00e9gek kihaszn\u00e1l\u00e1s\u00e1nak megnehez\u00edt\u00e9se az oper\u00e1ci\u00f3s rendszer alkot\u00f3elemeiben, valamint a kont\u00e9nerek izol\u00e1ci\u00f3j\u00e1nak fokoz\u00e1sa. A kont\u00e9nerek a Linux kernel be\u00e9p\u00edtett mechanizmusainak \u2014 cgroups, n\u00e9vterek \u00e9s seccomp \u2014 seg\u00edts\u00e9g\u00e9vel j\u00f6nnek l\u00e9tre. Tov\u00e1bbi izol\u00e1ci\u00f3hoz a disztrib\u00faci\u00f3 SELinux-t alkalmaz az \u201eenforcing\u201d m\u00f3dban. <\/p>\n

A gy\u00f6k\u00e9rpart\u00edci\u00f3 csak olvashat\u00f3 m\u00f3dban ker\u00fcl csatlakoztat\u00e1sra, m\u00edg a \/etc be\u00e1ll\u00edt\u00e1si part\u00edci\u00f3 tmpfs-k\u00e9nt csatlakozik, \u00e9s \u00fajra\u00e1ll\u00edtja az alap\u00e1llapot\u00e1t \u00fajraind\u00edt\u00e1s ut\u00e1n. A \/etc k\u00f6nyvt\u00e1rban l\u00e9v\u0151 f\u00e1jlok, mint p\u00e9ld\u00e1ul \/etc\/resolv.conf \u00e9s \/etc\/containerd\/config.toml k\u00f6zvetlen m\u00f3dos\u00edt\u00e1sa nem t\u00e1mogatott \u2014 a be\u00e1ll\u00edt\u00e1sok \u00e1lland\u00f3 meg\u0151rz\u00e9s\u00e9hez API-t kell haszn\u00e1lni, vagy a funkcionalit\u00e1st k\u00fcl\u00f6n kont\u00e9nerekbe kell \u00e1thelyezni. A gy\u00f6k\u00e9rpart\u00edci\u00f3 integrit\u00e1s\u00e1nak kriptogr\u00e1fiai ellen\u0151rz\u00e9s\u00e9t a dm-verity modul v\u00e9gzi, \u00e9s adatm\u00f3dos\u00edt\u00e1si k\u00eds\u00e9rlet eset\u00e9n a rendszer \u00fajraindul. <\/p>\n

A legt\u00f6bb rendszerkomponens Rust nyelven \u00edr\u00f3dott, amely eszk\u00f6z\u00f6ket biztos\u00edt a mem\u00f3ria biztons\u00e1gos kezel\u00e9s\u00e9re, lehet\u0151v\u00e9 t\u00e9ve a m\u00e1r felszabad\u00edtott mem\u00f3ria ter\u00fcletek, null pointerek derefer\u00e1l\u00e1s\u00e1nak \u00e9s a puffert\u00falfut\u00e1s elker\u00fcl\u00e9s\u00e9t. Az alap\u00e9rtelmezett ford\u00edt\u00e1si m\u00f3dban a \u2014enable-default-pie \u00e9s a \u2014enable-default-ssp opci\u00f3k haszn\u00e1lat\u00e1val a v\u00e9grehajthat\u00f3 f\u00e1jlok (PIE) c\u00edmek randomiz\u00e1l\u00e1sa \u00e9s a verem t\u00falfut\u00e1s\u00e1nak v\u00e9delme t\u00f6rt\u00e9nik a v\u00e9d\u0151 c\u00edmk\u00e9k helyettes\u00edt\u00e9s\u00e9vel. A C\/C++ nyelv\u0171 csomagokhoz tov\u00e1bbi z\u00e1szl\u00f3k is be\u00e1ll\u00edt\u00e1sra ker\u00fclnek: -Wall, -Werror=format-security, -Wp,-D_FORTIFY_SOURCE=2, -Wp,-D_GLIBCXX_ASSERTIONS \u00e9s -fstack-clash-protection. <\/p>\n

Az \u00faj kiad\u00e1sban: <\/p>\n