Microsoft ha pubblicato il primo aggiornamento stabile della nuova versione della distribuzione CBL-Mariner 2.0 (Common Base Linux Mariner), che si sviluppa come piattaforma di base universale per ambienti Linux utilizzati in infrastrutture cloud, sistemi edge e vari servizi Microsoft. Il progetto mira a unificare le soluzioni Linux utilizzate in Microsoft e semplificare la manutenzione dei sistemi Linux di vario tipo. I progressi del progetto sono distribuiti sotto licenza MIT. Le build dei pacchetti sono create per le architetture aarch64 e x86_64.
Il nuovo rilascio è noto per un significativo aggiornamento delle versioni dei programmi. In particolare, sono state aggiornate le versioni del kernel Linux 5.15 (nella versione 1.0 era utilizzato il kernel 5.4), systemd 250, glibc 2.35, GCC 11.2, clang 12, Python 3.9, ruby 3.1.2, rpm 4.17, qemu 6.1, perl 5.34, ostree 2022.1. Il repository di base include componenti per la creazione di interfacce grafiche, come Wayland 1.20, Mesa 21.0, GTK 3.24 e X.Org Server 1.20.10, che erano precedentemente forniti in un repository separato coreui. Sono state aggiunte build del kernel con patch PREEMPT_RT per l'uso in sistemi che operano in tempo reale.
La distribuzione CBL-Mariner offre un piccolo insieme standard di pacchetti di base, che fungono da fondamento universale per la creazione di contenuti per container, ambienti host e servizi eseguiti in infrastrutture cloud e su dispositivi edge. Soluzioni più complesse e specializzate possono essere create aggiungendo pacchetti aggiuntivi su CBL-Mariner, ma la base per tutti questi sistemi rimane invariata, semplificando la manutenzione e la preparazione degli aggiornamenti. Ad esempio, CBL-Mariner viene utilizzato come base per una mini-distribuzione WSLg, in cui sono forniti componenti dello stack grafico per eseguire applicazioni GUI Linux in ambienti basati sul sottosistema WSL2 (Windows Subsystem for Linux). La funzionalità avanzata in WSLg viene implementata tramite l'inclusione di pacchetti aggiuntivi con la composizione. server Weston, XWayland, PulseAudio e FreeRDP.
Il sistema di build CBL-Mariner consente di generare sia pacchetti RPM separati basati su file SPEC e sorgenti, sia immagini di sistema monolitiche, create utilizzando l'utility rpm-ostree e aggiornate in modo atomico senza frammentazione in pacchetti separati. Pertanto, sono supportati due modelli di distribuzione degli aggiornamenti: tramite l'aggiornamento di pacchetti singoli e tramite la ricostruzione e l'aggiornamento dell'intera immagine di sistema. È disponibile un repository che include circa 3000 pacchetti RPM già compilati, che può essere utilizzato per comporre le proprie immagini basate su un file di configurazione.
La distribuzione include solo i componenti più necessari ed è ottimizzata per un consumo minimo di memoria e spazio su disco, oltre che per un'elevata velocità di avvio. La distribuzione è anche notevole per l'inclusione di vari meccanismi aggiuntivi per aumentare la sicurezza. Nel progetto si applica un approccio di "massima sicurezza per impostazione predefinita". È fornita la possibilità di filtrare le chiamate di sistema tramite il meccanismo seccomp, di crittografare le partizioni del disco e di verificare i pacchetti tramite firme digitali.
Sono stati attivati i modi di randomizzazione dello spazio degli indirizzi supportati nel kernel Linux, così come meccanismi di protezione contro attacchi legati ai collegamenti simbolici, mmap, /dev/mem e /dev/kmem. Per le aree di memoria che ospitano segmenti con dati del kernel e dei moduli, è stato impostato un modo di sola lettura e l'esecuzione del codice è vietata. È disponibile opzionalmente la possibilità di vietare il caricamento dei moduli del kernel dopo l'inizializzazione del sistema. Per il filtraggio dei pacchetti di rete è stato utilizzato lo strumento iptables. Durante la fase di compilazione, sono stati attivati di default i modi di protezione contro il overflow dello stack, i buffer overflow e i problemi con il formattazione delle stringhe (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro).
Per la gestione dei servizi e del caricamento viene utilizzato il gestore di sistema systemd. Per la gestione dei pacchetti sono disponibili i gestori di pacchetti RPM e DNF. Il server SSH non è abilitato di default. Viene fornito un installatore per l'installazione della distribuzione, che può funzionare sia in modalità testuale che grafica. Nell'installer è possibile scegliere tra un'installazione completa o basica dei pacchetti, viene fornita un'interfaccia per la selezione della partizione del disco, la scelta del nome host e la creazione di utenti.
Fonte: opennet.ru
