L'azienda Microsoft ha pubblicato un aggiornamento della distribuzione Azure Linux 3.0.20241203. La distribuzione si evolve come piattaforma di base universale per ambienti Linux utilizzati nell'infrastruttura cloud, nei sistemi edge e nei vari servizi Microsoft. Le proprie implementazioni del progetto sono distribuite con licenza MIT. Le build dei pacchetti sono formate per le architetture aarch64 e x86_64. La dimensione dell'immagine di installazione è di 750 MB.
Tra le novità nella nuova versione:
- Il filtro dei pacchetti iptables è stato adattato per elaborare i comandi attraverso la traduzione delle regole nel bytecode nftables (per impostazione predefinita, invece di iptables-legacy, è utilizzato il pacchetto iptables-nft).
- Per i sistemi Aarch64 è stato proposto un pacchetto aggiuntivo con il kernel kernel-64k, in cui vengono utilizzate grandi pagine di memoria, di dimensioni 64 KB (il kernel è stato compilato con l'opzione CONFIG_ARM64_64K_PAGES).
- Nel gestore di pacchetti tdnf (analogo a dnf basato su C libs) è stata aggiunta la supporto per la configurazione "installonlypkgs", che è utilizzata per gestire l'installazione del kernel kernel-64k.
- Utilizzando systemd-networkd, è stata abilitata l'elaborazione del livenet rootfs da Dracut.
- È stato aggiunto un driver per gli adattatori di rete Intel Ethernet Connection E800.
- Nel gestore di log fluent-bit è stato aggiunto il supporto per il linguaggio Lua.
- È stata abilitata la verifica della firma digitale dei kernel caricati tramite il meccanismo kexec.
- Per identificare le build dei container, invece di controllare il file "/.dockerenv", viene utilizzato lo strumento systemd-detect-virt.
- Aggiornate le versioni dei pacchetti, tra cui il kernel Linux 6.6.57, shim 15.8, SymCrypt 103.6.0, Valkey (fork di Redis) 8.0.1, Go 1.23.3, MariaDB 10.11.10, PostgreSQL 16.5.
La distribuzione Azure Linux fornisce un piccolo insieme standard di pacchetti di base, che funge da base universale per creare il contenuto dei contenitori, ambienti host e servizi eseguiti in infrastrutture cloud e su dispositivi edge. Soluzioni più complesse e specializzate possono essere create aggiungendo pacchetti aggiuntivi sopra Azure Linux, ma la base per tutti questi sistemi rimane invariata, semplificando la manutenzione e la preparazione degli aggiornamenti.
Azure Linux viene utilizzato come base per il mini-distribuzione WSLg, che fornisce componenti dello stack grafico per consentire l'esecuzione di applicazioni GUI Linux in ambienti basati su WSL2 (Windows Subsystem for Linux). Le funzionalità avanzate in WSLg sono implementate attraverso l'inclusione di pacchetti aggiuntivi con un compositore. server Weston, XWayland, PulseAudio e FreeRDP.
Per la gestione dei servizi e del caricamento viene utilizzato il gestore di sistema systemd. Per la gestione dei pacchetti sono disponibili i gestori di pacchetti RPM e DNF. Il server SSH non è abilitato di default. Viene fornito un installatore per l'installazione della distribuzione, che può funzionare sia in modalità testuale che grafica. Nell'installer è possibile scegliere tra un'installazione completa o basica dei pacchetti, viene fornita un'interfaccia per la selezione della partizione del disco, la scelta del nome host e la creazione di utenti.
Il sistema di build di Azure Linux consente di generare sia pacchetti RPM singoli basati su file SPEC e sorgenti di testo, sia immagini di sistema monolitiche, create utilizzando lo strumento rpm-ostree e aggiornate in modo atomico senza suddivisione in pacchetti singoli. Di conseguenza, sono supportati due modelli di distribuzione degli aggiornamenti: tramite l'aggiornamento di singoli pacchetti e tramite la ricostruzione e l'aggiornamento dell'intera immagine di sistema. È disponibile un repository che include circa 3000 pacchetti RPM già costruiti, che possono essere utilizzati per comporre immagini personalizzate basate su un file di configurazione.
La piattaforma di base include solo i componenti più necessari ed è ottimizzata per un minimo consumo di memoria e spazio su disco, oltre che per un'elevata velocità di avvio. Nel progetto si adotta l'approccio 'massima sicurezza di default', che implica l'attivazione di vari meccanismi aggiuntivi per aumentare la protezione:
- Filtraggio delle chiamate di sistema attraverso il meccanismo seccomp.
- Crittografia delle partizioni del disco.
- Verifica dei pacchetti tramite firma digitale.
- Randomizzazione dello spazio degli indirizzi.
- Protezione contro attacchi legati a link simbolici, mmap, /dev/mem e /dev/kmem.
- Modalità di sola lettura e divieto di esecuzione di codice in aree di memoria che ospitano segmenti con dati del kernel e moduli.
- Opzione per vietare il caricamento di moduli del kernel dopo l'inizializzazione del sistema.
- Utilizzo di iptables per il filtraggio dei pacchetti di rete.
- Attivazione durante la compilazione delle modalità di protezione contro lo straripamento dello stack, il bufferoverflow e problemi di formattazione delle stringhe (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro).
Fonte: opennet.ru
