{"id":101560,"date":"2021-10-07T10:23:00","date_gmt":"2021-10-07T08:23:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-bottlerocket-1-3-distributiva-na-baze-izolirovannyh-kontejnerov"},"modified":"2021-10-07T10:23:00","modified_gmt":"2021-10-07T08:23:00","slug":"vypusk-bottlerocket-1-3-distributiva-na-baze-izolirovannyh-kontejnerov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/vypusk-bottlerocket-1-3-distributiva-na-baze-izolirovannyh-kontejnerov","title":{"rendered":"Rilascio di Bottlerocket 1.3, distribuzione basata su contenitori isolati","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\u00c8 stata rilasciata la versione 1.3.0 del sistema operativo Linux Bottlerocket, sviluppato in collaborazione con Amazon per l'avvio sicuro ed efficiente di container isolati. Gli strumenti e i componenti di gestione del sistema operativo sono scritti in Rust e distribuiti sotto le licenze MIT e Apache 2.0. Bottlerocket supporta l'esecuzione in cluster Amazon ECS, VMware e AWS EKS Kubernetes, oltre alla creazione di build e versioni personalizzate, consentendo l'uso di vari strumenti di orchestrazione e runtime per i container. <\/p>\n

La distribuzione fornisce un'immagine di sistema atomica, indissolubile e automaticamente aggiornata, che include il kernel Linux e un ambiente di sistema minimale, contenente solo i componenti necessari per l'avvio dei container. Nel suo ambiente sono coinvolti il manager di sistema systemd, la libreria Glibc, l'ambiente di build Buildroot, il bootloader GRUB, il configuratore di rete wicked, il runtime per container isolati containerd, la piattaforma di orchestrazione dei container Kubernetes, l'autenticatore aws-iam-authenticator e l'agente Amazon ECS. <\/p>\n

Gli strumenti per l'orchestrazione dei contenitori sono forniti in un contenitore di gestione separato, che \u00e8 abilitato per impostazione predefinita e gestito tramite API e AWS SSM Agent. L'immagine di base non include una shell di comando, un server<\/a> SSH e linguaggi interpretati (ad esempio, n\u00e9 Python n\u00e9 Perl) \u2014 gli strumenti per l'amministratore e gli strumenti di debug sono stati spostati in un contenitore di servizio separato, che \u00e8 disattivato per impostazione predefinita. <\/p>\n

La principale differenza rispetto a distribuzioni simili, come Fedora CoreOS, CentOS\/Red Hat Atomic Host, \u00e8 l'orientamento iniziale alla massima sicurezza nel contesto del rafforzamento della protezione del sistema da potenziali minacce, complicando l'exploitation delle vulnerabilit\u00e0 nei componenti del sistema operativo e aumentando l'isolamento dei container. I container vengono creati utilizzando i meccanismi standard del kernel Linux \u2014 cgroups, spazi dei nomi e seccomp. Per un'ulteriore isolamento, nel sistema operativo \u00e8 implementato SELinux in modalit\u00e0 'enforcing'. <\/p>\n

La partizione principale viene montata in modalit\u00e0 sola lettura, mentre la partizione di configurazione \/etc viene montata in tmpfs e ripristina lo stato originale dopo il riavvio. Non \u00e8 supportata la modifica diretta dei file nella directory \/etc, come \/etc\/resolv.conf e \/etc\/containerd\/config.toml \u2014 per la conservazione permanente delle impostazioni, \u00e8 necessario utilizzare l'API o separare le funzionalit\u00e0 in contenitori distinti. Per la verifica crittografica dell'integrit\u00e0 della partizione principale, \u00e8 utilizzato il modulo dm-verity. In caso di tentativi di modifica dei dati a livello di dispositivo a blocchi, il sistema viene riavviato. <\/p>\n

La maggior parte dei componenti di sistema \u00e8 scritta in Rust, che fornisce mezzi per una gestione sicura della memoria, evitando vulnerabilit\u00e0 come l'accesso alla memoria dopo il suo rilascio, la dereferenziazione di puntatori nulli e l'uscita dai limiti del buffer. Durante la compilazione predefinita, vengono applicate le modalit\u00e0 di compilazione «—enable-default-pie» e «—enable-default-ssp» per abilitare la randomizzazione degli indirizzi dello spazio degli eseguibili (PIE) e la protezione dagli overflow dello stack tramite la sostituzione delle etichette di canarini. Per i pacchetti scritti in C\/C++, vengono inoltre attivati i flag «-Wall», «-Werror=format-security», «-Wp,-D_FORTIFY_SOURCE=2», «-Wp,-D_GLIBCXX_ASSERTIONS» e «-fstack-clash-protection». <\/p>\n

Nel nuovo rilascio: <\/p>\n