{"id":103663,"date":"2022-03-31T15:36:53","date_gmt":"2022-03-31T13:36:53","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-bottlerocket-1-7-distributiva-na-baze-izolirovannyh-kontejnerov"},"modified":"2022-03-31T15:36:53","modified_gmt":"2022-03-31T13:36:53","slug":"vypusk-bottlerocket-1-7-distributiva-na-baze-izolirovannyh-kontejnerov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/vypusk-bottlerocket-1-7-distributiva-na-baze-izolirovannyh-kontejnerov","title":{"rendered":"Rilascio di Bottlerocket 1.7, una distribuzione basata su contenitori isolati","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\u00c8 stato pubblicato il rilascio della distribuzione Linux Bottlerocket 1.7.0, sviluppata con la partecipazione di Amazon per l'esecuzione efficiente e sicura di contenitori isolati. Gli strumenti e i componenti di gestione della distribuzione sono scritti in Rust e distribuiti sotto le licenze MIT e Apache 2.0. \u00c8 supportato il funzionamento di Bottlerocket in cluster Amazon ECS, VMware e AWS EKS Kubernetes, nonch\u00e9 la creazione di build e versioni personalizzate che consentono l'uso di vari strumenti di orchestrazione e runtime per contenitori. <\/p>\n

La distribuzione fornisce un'immagine di sistema atomica e automaticamente aggiornabile, che include il kernel Linux e un ambiente di sistema minimo, comprensivo solo dei componenti necessari per l'esecuzione dei container. Nell'ambiente sono coinvolti il gestore di sistema systemd, la libreria Glibc, l'ambiente di build Buildroot, il bootloader GRUB, il configuratore di rete wicked, il runtime per container isolati containerd, la piattaforma di orchestrazione dei container Kubernetes, l'autenticatore aws-iam-authenticator e l'agente Amazon ECS. <\/p>\n

Gli strumenti per l'orchestrazione dei container sono forniti in un container di gestione separato, attivato di default e gestito tramite API e AWS SSM Agent. Nell'immagine di base non \u00e8 presente una shell. server<\/a> SSH e linguaggi interpretati (ad esempio, non ci sono Python o Perl) \u2014 strumenti per l'amministratore e strumenti di debug sono spostati in un contenitore di servizio separato, che \u00e8 disabilitato per impostazione predefinita. <\/p>\n

La principale differenza rispetto a distribuzioni simili, come Fedora CoreOS e CentOS\/Red Hat Atomic Host, \u00e8 l'orientamento primario a fornire la massima sicurezza nel contesto del rafforzamento della protezione del sistema contro le potenziali minacce, complicando l'esploitazione delle vulnerabilit\u00e0 nei componenti del sistema operativo e aumentando l'isolamento dei contenitori. I contenitori vengono creati utilizzando i meccanismi standard del kernel Linux \u2014 cgroups, spazi dei nomi e seccomp. Per un'ulteriore isolamento, nel distribuitore viene utilizzato SELinux in modalit\u00e0 'enforcing'. <\/p>\n

La partizione principale viene montata in modalit\u00e0 di sola lettura e la partizione con le impostazioni \/etc viene montata in tmpfs e ripristina lo stato originale dopo il riavvio. La modifica diretta dei file nella cartella \/etc, come \/etc\/resolv.conf e \/etc\/containerd\/config.toml, non \u00e8 supportata \u2014 per la conservazione permanente delle impostazioni \u00e8 necessario utilizzare l'API o estrarre la funzionalit\u00e0 in contenitori separati. Per la verifica crittografica dell'integrit\u00e0 della partizione principale viene utilizzato il modulo dm-verity, e in caso di rilevamento di tentativi di modifica dei dati a livello del dispositivo a blocchi, il sistema si riavvia. <\/p>\n

La maggior parte dei componenti di sistema \u00e8 scritta in Rust, un linguaggio che offre strumenti per una gestione sicura della memoria, evitando vulnerabilit\u00e0 causate da accessi alla memoria dopo la sua liberazione, dereferenziazione di puntatori nulli e fuoriuscite dai limiti del buffer. Durante la compilazione predefinita, vengono applicate le modalit\u00e0 di compilazione «—enable-default-pie» e «—enable-default-ssp» per abilitare la randomizzazione dello spazio degli indirizzi dei file eseguibili (PIE) e la protezione contro il ripieno dello stack tramite la sostituzione di marcatori canarie. Per i pacchetti scritti in C\/C++, vengono inoltre abilitati i flag «-Wall», «-Werror=format-security», «-Wp,-D_FORTIFY_SOURCE=2», «-Wp,-D_GLIBCXX_ASSERTIONS» e «-fstack-clash-protection». <\/p>\n

Nel nuovo rilascio: <\/p>\n