Microsoft ha rilasciato la versione del sistema operativo CBL-Mariner 1.0 (Common Base Linux Mariner), contrassegnata come il primo rilascio stabile del progetto. CBL-Mariner viene sviluppato come una piattaforma base universale per ambienti Linux utilizzati nell'infrastruttura cloud, nei sistemi edge e in vari servizi Microsoft. Il progetto mira a uniformare le soluzioni Linux impiegate da Microsoft e semplificare la manutenzione delle sue diverse sistemi Linux. I contributi del progetto sono distribuiti con licenza MIT.
Il sistema operativo fornisce un insieme standard di pacchetti essenziali, che fungono da base universale per la creazione di contenitori, ambienti host e servizi da eseguire nelle infrastrutture cloud e sui dispositivi edge. Soluzioni più complesse e specializzate possono essere create aggiungendo pacchetti aggiuntivi sopra CBL-Mariner, ma la base per tutti questi sistemi rimane invariata, facilitando la manutenzione e la preparazione degli aggiornamenti.
Ad esempio, CBL-Mariner viene utilizzato come base per una mini distribuzione WSLg, che fornisce componenti del stack grafico per l'esecuzione di applicazioni GUI Linux negli ambienti basati sul sottomodulo WSL2 (Windows Subsystem for Linux). La base di questa distribuzione rimane invariata, mentre la funzionalità avanzata è implementata tramite l'inclusione di pacchetti addizionali con componenti compositi. server Weston, XWayland, PulseAudio e FreeRDP.
Il sistema di build CBL-Mariner consente di generare sia singoli pacchetti RPM basati su file SPEC e sorgenti, sia immagini di sistema monolitiche, create utilizzando strumenti rpm-ostree e aggiornate in modo atomico senza frammentazione in pacchetti separati. Pertanto, sono supportati due modelli di distribuzione degli aggiornamenti: tramite l'aggiornamento di pacchetti singoli e tramite la ricostruzione e l'aggiornamento dell'intera immagine di sistema. La distribuzione include solo i componenti essenziali e è ottimizzata per un consumo minimo di memoria e spazio su disco, nonché per un'elevata velocità di avvio. La distribuzione è anche notevole per l'inclusione di diversi meccanismi aggiuntivi per migliorare la sicurezza.
Nel progetto viene adottato un approccio di «massima sicurezza per impostazione predefinita». È prevista la possibilità di filtrare le chiamate di sistema tramite il meccanismo seccomp, la crittografia delle partizioni disco e la verifica dei pacchetti tramite firma digitale. Nella fase di build, per impostazione predefinita, sono attivate modalità di protezione contro il overflow dello stack, overflow del buffer e problemi di formattazione delle stringhe (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro). Sono attivati i moduli di randomizzazione dello spazio degli indirizzi supportati nel kernel Linux, così come meccanismi di protezione contro attacchi che coinvolgono link simbolici, mmap, /dev/mem e /dev/kmem. Per le aree di memoria che ospitano segmenti con dati del kernel e moduli, è impostata una modalità di sola lettura e viene vietata l'esecuzione di codice. Inoltre, è disponibile la possibilità di vietare il caricamento di moduli del kernel dopo l'inizializzazione del sistema. Per il filtraggio dei pacchetti di rete, viene utilizzato il toolset iptables.
Готовые ISO-образы не предоставляются. Подразумевается, что пользователь может сам создать образ с необходимой начинкой (cборочные инструкции предоставлены для Ubuntu 18.04). Доступен репозиторий с уже собранными RPM-пакетами, который можно использовать для компоновки собственных образов на основе файла конфигурации. В репозитории предложено около 3300 пакетов. Например, для сборки полного iso-образа достаточно выполнить: git clone https://github.com/microsoft/CBL-Mariner.git cd CBL-Mariner/toolkit sudo make iso REBUILD_TOOLS=y REBUILD_PACKAGES=n CONFIG_FILE=./imageconfigs/full.json
Per gestire i servizi e il carico viene utilizzato il gestore di sistema systemd. I gestori di pacchetti forniti sono RPM e DNF (una variante di tdnf da vmWare). Il server SSH non è attivato di default. Per l'installazione della distribuzione è fornito un installer, che può funzionare sia in modalità testuale che grafica. L'installer offre la possibilità di installare un set completo o di base di pacchetti, presenta un'interfaccia per la selezione della partizione del disco, la scelta del nome host e la creazione degli utenti.
Fonte: opennet.ru
