{"id":94205,"date":"2020-09-13T19:42:49","date_gmt":"2020-09-13T17:42:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/vyshel-minimalistichnyj-linux-distributiv-bottlerocket-dlya-zapuska-kontejnerov-samoe-glavnoe-o-nyom"},"modified":"2020-09-13T19:42:49","modified_gmt":"2020-09-13T17:42:49","slug":"vyshel-minimalistichnyj-linux-distributiv-bottlerocket-dlya-zapuska-kontejnerov-samoe-glavnoe-o-nyom","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/vyshel-minimalistichnyj-linux-distributiv-bottlerocket-dlya-zapuska-kontejnerov-samoe-glavnoe-o-nyom","title":{"rendered":"\u00c8 uscito Bottlerocket, una distribuzione Linux minimalista per l'esecuzione di container. Ecco le informazioni pi\u00f9 importanti.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"\u00c8
\n
\nAzienda Amazon ha annunciato<\/a><\/noindex> sul rilascio finale Bottlerocket<\/a><\/noindex> \u2014 una distribuzione specializzata per l'esecuzione di container e la loro gestione efficiente.<\/p>\n

Bottlerocket (per inciso, questo \u00e8 il termine per i piccoli razzi artigianali a propellente solido) non \u00e8 il primo sistema operativo per container, ma \u00e8 molto probabile che diventi ampiamente utilizzato grazie all'integrazione predefinita con i servizi AWS. Anche se il sistema \u00e8 orientato verso il cloud di Amazon, il codice sorgente aperto consente di compilarlo ovunque: localmente su un server, su Raspberry Pi, in qualsiasi cloud concorrente e anche in ambienti senza container.<\/p>\n

\u00c8 una valida alternativa alla distribuzione CoreOS, che \u00e8 stata messa da parte da Red Hat.
\n<\/a><\/noindex>
\nIn effetti, la divisione Amazon Web Services ha gi\u00e0 Amazon Linux, che recentemente \u00e8 stato aggiornato alla seconda versione: \u00e8 una distribuzione multiuso che pu\u00f2 essere eseguita in un container Docker o con hypervisor Linux KVM, Microsoft Hyper-V e VMware ESXi. \u00c8 stata ottimizzata per funzionare nel cloud AWS, ma con l'uscita di Bottlerocket si consiglia a tutti di effettuare l'upgrade al nuovo sistema, che \u00e8 pi\u00f9 sicuro, moderno e consuma meno risorse.<\/p>\n

AWS ha annunciato Bottlerocket a marzo 2020<\/a><\/noindex>. Ha subito riconosciuto che non si tratta del primo \"Linux per container\", citando come fonti di ispirazione CoreOS, Rancher OS e Project Atomic. Gli sviluppatori hanno affermato che il sistema operativo \u00e8 \"il risultato delle lezioni apprese da molti anni di operazioni di servizi su larga scala in Amazon, e basato sull'esperienza accumulata negli ultimi sei anni su come eseguire container\".<\/p>\n

Estremo minimalismo<\/h1>\n

\nLinux \u00e8 stato depurato da tutto ci\u00f2 che non \u00e8 necessario per eseguire container. Questo design, secondo l'azienda, riduce la superficie di attacco.<\/p>\n

Ci\u00f2 significa che nella base del sistema ci sono meno pacchetti installati, semplificando il supporto e l'aggiornamento del sistema operativo, oltre a ridurre la probabilit\u00e0 di problemi a causa delle dipendenze, abbattendo l'uso delle risorse. In pratica, tutto funziona all'interno di container separati, mentre il sistema di base \u00e8 praticamente nudo.<\/p>\n

Amazon ha anche rimosso tutte le shell e gli interpreti, escludendo il rischio di un loro utilizzo o di un aumento accidentale dei privilegi da parte degli utenti. Nell'immagine di base, per motivi di minimalismo e sicurezza, mancano una shell a riga di comando, un server SSH e linguaggi interpretati come Python. Gli strumenti per l'amministratore sono stati spostati in un container di servizio separato, che \u00e8 disattivato per impostazione predefinita.<\/p>\n

La gestione del sistema \u00e8 prevista in due modi: tramite API e orchestrazione.<\/p>\n

Invece di un gestore di pacchetti che aggiorna singole parti del software, Bottlerocket scarica un'immagine completa del file system e riavvia su di essa. In caso di guasto del boot, ritorna automaticamente alla versione precedente, mentre un guasto del carico di lavoro pu\u00f2 avviare un rollback manualmente (comando tramite API).<\/p>\n

Framework TUF<\/a><\/noindex> (The Update Framework) scarica aggiornamenti basati su immagini in partizioni alternative o 'smontate'. Sono dedicati due partizionamenti del disco al sistema, uno dei quali contiene il sistema attivo e sull'altro viene copiato l'aggiornamento. Il partizionamento radice \u00e8 montato in modalit\u00e0 di sola lettura, mentre il partizionamento \/etc<\/code> \u00e8 montato con un file system in memoria tmpfs<\/a><\/noindex> e ripristina lo stato originale dopo il riavvio. Modifiche dirette ai file di configurazione in \/etc<\/code> non sono supportate: per conservare le impostazioni, \u00e8 consigliabile utilizzare l'API o esternalizzare le funzionalit\u00e0 in container separati.<\/p>\n

\"\u00c8
\nSchema di aggiornamento tramite API<\/i><\/p>\n

Sicurezza<\/h1>\n

\nI container sono creati attraverso i meccanismi di base del kernel Linux \u2014 cgroups, spazi dei nomi e seccomp, e per il controllo degli accessi forzato, cio\u00e8 per un'ulteriore isolamento, viene utilizzato SELinux<\/a><\/noindex> in modalit\u00e0 "enforcing".<\/p>\n

Per impostazione predefinita, sono attive politiche per la separazione delle risorse tra container e kernel. I binari sono protetti da flag, affinch\u00e9 utenti o programmi non possano eseguirli. E se qualcuno riesce a penetrare nel file system, Bottlerocket offre uno strumento per controllare e monitorare qualsiasi modifica apportata.<\/p>\n

La modalit\u00e0 \"boot verificato\" \u00e8 implementata tramite la funzione device-mapper-verity (dm-verity<\/a><\/noindex>), che controlla l'integrit\u00e0 della partizione radice durante il boot. AWS descrive dm-verity come \"una funzione del kernel Linux che fornisce verifiche di integrit\u00e0 per prevenire l'esecuzione di malware nel sistema operativo, come la riscrittura del software di sistema principale\".<\/p>\n

\u00c8 presente anche un filtro eBPF<\/a><\/noindex> (extended BPF, sviluppo di Aleksej Starovojtov<\/a><\/noindex>), che consente di sostituire i moduli del kernel con programmi BPF pi\u00f9 sicuri per operazioni di sistema a basso livello.<\/p>\n

Modello di esecuzione
\nImpostato dall'utente
\nCompilazione
\nSicurezza
\nModalit\u00e0 di guasto
\nAccesso alle risorse<\/p>\n

Utente<\/b>
\nun task
\ns\u00ec
\nqualsiasi
\nprivilegi utente
\ninterruzione dell'esecuzione
\nchiamata di sistema, fault<\/p>\n

Il kernel<\/b>
\nun task
\nno
\nstatico
\nno
\npanic del kernel
\ndiretta<\/p>\n

BPF<\/b>
\nevento
\ns\u00ec
\nJIT, CO-RE
\nverifica, JIT
\nmessaggio di errore
\nhelper limitati<\/p>\n

\nLa differenza tra BPF e il normale codice a livello utente o kernel, fonte<\/a><\/noindex><\/i><\/p>\n

AWS ha dichiarato che Bottlerocket \"applica un modello operativo che aumenta ulteriormente la sicurezza, impedendo l'accesso ai server di produzione con privilegi di amministratore\" e \"\u00e8 adatto per grandi sistemi distribuiti, nei quali \u00e8 limitato il controllo su ogni singolo host\".<\/p>\n

Per gli amministratori di sistema \u00e8 previsto un contenitore per amministratori. Tuttavia, AWS non ritiene che gli amministratori debbano frequentemente lavorare all'interno di Bottlerocket: \"Il login in un singolo istanza di Bottlerocket \u00e8 concepito per operazioni poco frequenti: debugging avanzato e risoluzione dei problemi\", - scrivono<\/a><\/noindex> sviluppatori.<\/p>\n

Linguaggio Rust<\/h1>\n

\nL'cella OS sopra il kernel \u00e8 principalmente scritta in Rust. Questo linguaggio, per sua natura, riduce la possibilit\u00e0 di accesso non sicuro alla memoria<\/a><\/noindex>, cos\u00ec come elimina le condizioni di competizione tra thread<\/a><\/noindex>.<\/p>\n

Durante la compilazione predefinita vengono applicati i flag --enable-default-pie<\/code> e --enable-default-ssp<\/code> per abilitare la randomizzazione dello spazio degli indirizzi dei file eseguibili (position-independent executable<\/a><\/noindex>, PIE) e protezione contro il overflow dello stack.<\/p>\n

Per i pacchetti C\/C++, vengono ulteriormente attivati i flag -Wall<\/code>, -Werror=format-security<\/code>, -Wp,-D_FORTIFY_SOURCE=2<\/code>, -Wp,-D_GLIBCXX_ASSERTIONS<\/code> e -fstack-clash-protection<\/code>.<\/p>\n

Oltre a Rust e C\/C++, alcuni pacchetti sono scritti in Go.<\/p>\n

Integrazione con i servizi AWS<\/h1>\n

\nLa differenza rispetto ad altri sistemi operativi containerizzati \u00e8 che Amazon ha ottimizzato Bottlerocket per funzionare su AWS e per integrarsi con altri servizi AWS.<\/p>\n

Il pi\u00f9 popolare orchestratore di container \u00e8 Kubernetes, quindi AWS ha implementato l'integrazione con il proprio servizio Enterprise Kubernetes (EKS). Gli strumenti di orchestrazione sono in un contenitore di gestione separato bottlerocket-control-container<\/a><\/noindex>, che \u00e8 incluso per impostazione predefinita e gestito tramite API e AWS SSM Agent.<\/p>\n

Sar\u00e0 interessante vedere se Bottlerocket decoller\u00e0, considerando il fallimento di alcune iniziative simili in passato. Ad esempio, PhotonOS di Vmware si \u00e8 rivelato non richiesto, e RedHat ha acquistato CoreOS e ha chiuso il progetto<\/a><\/noindex>, che era considerato un pioniere in questo campo.<\/p>\n

L'integrazione di Bottlerocket con i servizi AWS rende questo sistema unico nel suo genere. Probabilmente, questa \u00e8 la ragione principale per cui alcuni utenti potrebbero preferire Bottlerocket ad altre distribuzioni, come CoreOS o Alpine. Il sistema \u00e8 progettato in origine per funzionare con EKS ed ECS, ma ripetiamo che non \u00e8 obbligatorio. Innanzitutto, Bottlerocket pu\u00f2 essere configurato autonomamente<\/a><\/noindex> essere utilizzato, ad esempio, come soluzione hosted. In secondo luogo, gli utenti di EKS ed ECS manterranno comunque la possibilit\u00e0 di scegliere il sistema operativo.<\/p>\n

Il codice sorgente di Bottlerocket \u00e8 pubblicato su GitHub con licenza Apache 2.0. Gli sviluppatori stanno gi\u00e0 rispondendo ai bug report e alle richieste di funzionalit\u00e0<\/a><\/noindex>.<\/p>\n

<\/p>\n

In pubblicit\u00e0<\/h4>\n

\nVDSina<\/b> offre VDS con pagamento giornaliero<\/a><\/noindex>. \u00c8 possibile installare qualsiasi sistema operativo, compreso il proprio immagine. Ogni server \u00e8 connesso a una banda internet di 500 Megabit ed \u00e8 protetto gratuitamente dagli attacchi DDoS! <\/p>\n

\"\u00c8<\/a><\/noindex>
\n
Fonte: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Amazon \u043e\u0431\u044a\u044f\u0432\u0438\u043b\u0430 \u043e \u0444\u0438\u043d\u0430\u043b\u044c\u043d\u043e\u043c \u0440\u0435\u043b\u0438\u0437\u0435 Bottlerocket \u2014 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u0434\u0438\u0441\u0442\u0440\u0438\u0431\u0443\u0442\u0438\u0432\u0430 \u0434\u043b\u044f \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u043e\u0432 \u0438 \u044d\u0444\u0444\u0435\u043a\u0442\u0438\u0432\u043d\u043e\u0433\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0438\u043c\u0438. Bottlerocket (\u043a\u0441\u0442\u0430\u0442\u0438, \u0442\u0430\u043a \u043d\u0430\u0437\u044b\u0432\u0430\u044e\u0442 \u043c\u0435\u043b\u043a\u0438\u0435 \u0441\u0430\u043c\u043e\u0434\u0435\u043b\u044c\u043d\u044b\u0435 \u0440\u0430\u043a\u0435\u0442\u044b \u043d\u0430 \u0434\u044b\u043c\u043d\u043e\u043c \u043f\u043e\u0440\u043e\u0445\u0435) \u2014 \u043d\u0435 \u043f\u0435\u0440\u0432\u0430\u044f \u041e\u0421 \u0434\u043b\u044f \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u043e\u0432, \u043d\u043e \u0432\u043f\u043e\u043b\u043d\u0435 \u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e, \u0447\u0442\u043e \u043e\u043d\u0430 \u043f\u043e\u043b\u0443\u0447\u0438\u0442 \u0448\u0438\u0440\u043e\u043a\u043e\u0435 \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u0435 \u0431\u043b\u0430\u0433\u043e\u0434\u0430\u0440\u044f \u0434\u0435\u0444\u043e\u043b\u0442\u043d\u043e\u0439 \u0438\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u0438 \u0441 \u0441\u0435\u0440\u0432\u0438\u0441\u0430\u043c\u0438 AWS. \u0425\u043e\u0442\u044f \u0441\u0438\u0441\u0442\u0435\u043c\u0430 \u043e\u0440\u0438\u0435\u043d\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0430 \u043d\u0430 \u043e\u0431\u043b\u0430\u043a\u043e Amazon, \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u0439 \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u0439 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":94206,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-94205","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47\u00c8 stato rilasciato un minimalista Linux-distro Bottlerocket per l'esecuzione di contenitori. Tutto quello che c'\u00e8 da sapere su di esso | ProHoster","description":"","canonical_url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/vyshel-minimalistichnyj-linux-distributiv-bottlerocket-dlya-zapuska-kontejnerov-samoe-glavnoe-o-nyom","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0412\u044b\u0448\u0435\u043b \u043c\u0438\u043d\u0438\u043c\u0430\u043b\u0438\u0441\u0442\u0438\u0447\u043d\u044b\u0439 Linux-\u0434\u0438\u0441\u0442\u0440\u0438\u0431\u0443\u0442\u0438\u0432 Bottlerocket \u0434\u043b\u044f \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u043e\u0432. \u0421\u0430\u043c\u043e\u0435 \u0433\u043b\u0430\u0432\u043d\u043e\u0435 \u043e \u043d\u0451\u043c | ProHoster","og:url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/vyshel-minimalistichnyj-linux-distributiv-bottlerocket-dlya-zapuska-kontejnerov-samoe-glavnoe-o-nyom","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-09-13T17:42:49+00:00","article:modified_time":"2020-09-13T17:42:49+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"94205","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 11:31:27","updated":"2022-10-03 07:42:47","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/94205","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=94205"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/94205\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media\/94206"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=94205"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=94205"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=94205"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}