Microsoft ha rilasciato il primo aggiornamento stabile del nuovo ramo della distribuzione Azure Linux 3.0, precedentemente noto come CBL-Mariner. La distribuzione si sviluppa come una piattaforma di base universale per ambienti Linux utilizzati nell'infrastruttura cloud, nei sistemi edge e in vari servizi Microsoft. Il progetto mira a unificare le soluzioni Linux utilizzate in Microsoft e semplificare la manutenzione dei sistemi Linux di vario tipo. I risultati del progetto sono distribuiti con licenza MIT. Le build dei pacchetti sono disponibili per le architetture aarch64 e x86_64. La dimensione dell'immagine di installazione è di 740 MB.
Tra le modifiche nella nuova versione:
- Il kernel Linux è stato aggiornato alla versione 6.6 (in precedenza era utilizzato il kernel 5.15). È stata aggiunta la supporto per il live patching, che consente di correggere vulnerabilità nel kernel senza riavviare.
- Sono state proposte nuove versioni dei pacchetti, tra cui systemd 255, glibc 2.38, GCC 13.2, clang 18.1, OpenSSL 3.3, rpm 4.18.2, ruby 3.3.0, BIND 9.20, containerd 1.7.13, kunc 1.1.12, ostree 2024.5, rust 1.75, Perl 5.38, Python 3.12.3, QEMU 8.2.0.
- Il sistema di controllo degli accessi SELinux è stato impostato di default in modalità "enforcing".
- Per impostazione predefinita è attivata la gerarchia unificata di cgroups v2. La principale differenza tra cgroups v2 e v1 è l'uso di una gerarchia comune di cgroups per tutti i tipi di risorse, invece di gerarchie separate per la distribuzione delle risorse CPU, la regolazione del consumo di memoria e l'input/output.
- Sono stati aggiunti strumenti per la sostituzione di altre distribuzioni (OSsku In-Place Migration) sui nodi nel cloud Microsoft Azure, ad esempio, è possibile sostituire Ubuntu installato con Azure Linux.
- È stato aggiunto il supporto per le nuove GPU NVIDIA, come NVIDIA A100 e H100, e fornito il NVIDIA GPU Operator per automatizzare la gestione dei driver NVIDIA sui nodi con Azure Linux.
La distribuzione Azure Linux offre un set di base di pacchetti fondamentali che fungono da base universale per creare contenitori, ambienti host e servizi eseguiti in infrastrutture cloud e su dispositivi edge. Soluzioni più complesse e specializzate possono essere create tramite l'aggiunta di pacchetti aggiuntivi sopra Azure Linux, ma la base per tutti questi sistemi rimane invariata, semplificando la manutenzione e la preparazione degli aggiornamenti.
Ad esempio, Azure Linux viene utilizzato come base per un mini-distributivo WSLg, che fornisce i componenti del stack grafico per eseguire applicazioni GUI Linux in ambienti basati sul sottosistema WSL2 (Windows Subsystem for Linux). La funzionalità avanzata in WSLg è implementata attraverso l'inclusione di pacchetti aggiuntivi con compositing. server Weston, XWayland, PulseAudio e FreeRDP.
Per la gestione dei servizi e del carico, viene utilizzato il gestore di sistema systemd. Per la gestione dei pacchetti sono forniti i gestori di pacchetti RPM e DNF. Il server SSH non è abilitato di default. Per l'installazione della distribuzione è fornito un installer che può operare sia in modalità testuale che grafica. Nell'installer è disponibile la possibilità di installare con un set completo o base di pacchetti, un'interfaccia per selezionare la partizione del disco, scegliere il nome dell'host e creare utenti.
Il sistema di build di Azure Linux consente di generare sia pacchetti RPM separati basati su file SPEC e sorgenti, sia immagini di sistema monolitiche create utilizzando lo strumento rpm-ostree e aggiornate in modo atomico senza suddivisione in pacchetti separati. Pertanto, sono supportati due modelli di consegna degli aggiornamenti: tramite l'aggiornamento di pacchetti singoli e tramite la ricostruzione e l'aggiornamento dell'intera immagine di sistema. È disponibile un repository che include circa 3000 pacchetti RPM già compilati, utilizzabile per assemblare le proprie immagini basate su un file di configurazione.
La piattaforma di base include solo i componenti essenziali ed è ottimizzata per un consumo minimo di memoria e spazio su disco, oltre a garantire elevate velocità di caricamento. Nel progetto si applica un approccio di "massima sicurezza per impostazione predefinita", che prevede l'inclusione di vari meccanismi aggiuntivi per aumentare la protezione:
- Filtraggio delle chiamate di sistema tramite il meccanismo seccomp.
- Crittografia delle partizioni disco.
- Verifica dei pacchetti tramite firma digitale.
- Randomizzazione dello spazio degli indirizzi.
- Protezione contro attacchi legati a collegamenti simbolici, mmap, /dev/mem e /dev/kmem.
- Modalità sola lettura e divieto di esecuzione di codice in aree di memoria in cui sono allocati segmenti contenenti dati del kernel e dei moduli.
- Opzione per vietare il caricamento dei moduli del kernel dopo l'inizializzazione del sistema.
- Utilizzo di iptables per la filtrazione dei pacchetti di rete.
- Abilitazione nella compilazione delle modalità di protezione contro il buffer overflow, le vulnerabilità di overflow dello stack e problemi di formattazione delle stringhe (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro).
Fonte: opennet.ru
