{"id":94205,"date":"2020-09-13T19:42:49","date_gmt":"2020-09-13T17:42:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/vyshel-minimalistichnyj-linux-distributiv-bottlerocket-dlya-zapuska-kontejnerov-samoe-glavnoe-o-nyom"},"modified":"2020-09-13T19:42:49","modified_gmt":"2020-09-13T17:42:49","slug":"vyshel-minimalistichnyj-linux-distributiv-bottlerocket-dlya-zapuska-kontejnerov-samoe-glavnoe-o-nyom","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/vyshel-minimalistichnyj-linux-distributiv-bottlerocket-dlya-zapuska-kontejnerov-samoe-glavnoe-o-nyom","title":{"rendered":"\u00c8 uscito il distribuzione Linux minimalista Bottlerocket per eseguire container. Le informazioni principali a riguardo","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"\u00c8
\n
\nAzienda Amazon ha annunciato<\/a><\/noindex> sul rilascio finale Bottlerocket<\/a><\/noindex> \u2014 una distribuzione specializzata per l'esecuzione di container e la loro gestione efficiente.<\/p>\n

Bottlerocket (tra l'altro, questo \u00e8 il nome delle piccole razzi fai-da-te a polvere da sparo) non \u00e8 il primo sistema operativo per container, ma \u00e8 molto probabile che ottenga una diffusione ampia grazie all'integrazione predefinita con i servizi AWS. Sebbene il sistema sia orientato verso il cloud di Amazon, il codice sorgente aperto consente di compilarlo ovunque: localmente su un server, su Raspberry Pi, in qualsiasi cloud concorrente e persino in un ambiente senza container.<\/p>\n

\u00c8 un'ottima alternativa alla distribuzione CoreOS, che \u00e8 stata abbandonata da Red Hat.
\n<\/a><\/noindex>
\nInfatti, la divisione Amazon Web Services ha gi\u00e0 Amazon Linux, recentemente rilasciato nella sua seconda versione: una distribuzione di uso generale che pu\u00f2 essere eseguita in un container Docker o con hypervisor Linux KVM, Microsoft Hyper-V e VMware ESXi. \u00c8 stato ottimizzato per lavorare nel cloud AWS, ma con il rilascio di Bottlerocket a tutti \u00e8 consigliato effettuare un upgrade al nuovo sistema, che \u00e8 pi\u00f9 sicuro, moderno e consuma meno risorse.<\/p>\n

AWS ha annunciato Bottlerocket nel marzo 2020<\/a><\/noindex>. Ha subito riconosciuto che non \u00e8 il primo \"Linux per container\", citando tra le fonti di ispirazione CoreOS, Rancher OS e Project Atomic. Gli sviluppatori hanno scritto che il sistema operativo \u00e8 \"il risultato delle lezioni apprese dopo un lungo periodo di lavoro con servizi di produzione su scala Amazon, e considerando l'esperienza accumulata negli ultimi sei anni su come eseguire container\".<\/p>\n

Minimalismo estremo<\/h1>\n

\nLinux \u00e8 stato ripulito da tutto ci\u00f2 che non \u00e8 necessario per l'esecuzione dei container. Questo design, secondo l'azienda, riduce la superficie di attacco.<\/p>\n

Ci\u00f2 significa che nella sistema base sono installati meno pacchetti, semplificando il supporto e l'aggiornamento del sistema operativo, oltre a ridurre la probabilit\u00e0 di problemi dovuti alle dipendenze e diminuire l'utilizzo delle risorse. In linea di massima, tutto funziona all'interno di singoli container, e il sistema base \u00e8 praticamente vuoto.<\/p>\n

Amazon ha anche rimosso tutte le shell e gli interpreti, eliminando il rischio del loro utilizzo o di un eventuale elevamento dei privilegi da parte degli utenti. Nell'immagine base, per minimizzare e garantire sicurezza, non ci sono shell di comando, server SSH e linguaggi interpretati come Python. Gli strumenti per l'amministratore sono stati estratti in un contenitore di servizio separato, che \u00e8 disattivato di default.<\/p>\n

La gestione del sistema \u00e8 prevista in due modi: tramite API e orchestrazione.<\/p>\n

Invece di un gestore di pacchetti che aggiorna singole parti del software, Bottlerocket carica un'immagine completa del filesystem e si riavvia in essa. In caso di fallimento del caricamento, viene eseguito automaticamente il rollback, e il fallimento del carico di lavoro pu\u00f2 attivare manualmente il rollback (comando tramite API).<\/p>\n

Framework TUF<\/a><\/noindex> (The Update Framework) carica aggiornamenti basati su immagini in partizioni alternative o \"smontate\". Sono dedicati due partizioni del disco al sistema, una delle quali contiene il sistema attivo, mentre sull'altra viene copiato l'aggiornamento. In questo modo, la partizione radice \u00e8 montata in modalit\u00e0 di sola lettura, mentre la partizione \/etc<\/code> \u00e8 montata con il filesystem in memoria volatile tmpfs<\/a><\/noindex> e ripristina lo stato originale dopo il riavvio. La modifica diretta dei file di configurazione in \/etc<\/code> non \u00e8 supportata: per la conservazione delle impostazioni \u00e8 necessario utilizzare l'API o estrarre la funzionalit\u00e0 in contenitori separati.<\/p>\n

\"\u00c8
\nLo schema di aggiornamento tramite API<\/i><\/p>\n

Sicurezza<\/h1>\n

\nI contenitori sono creati mediante i meccanismi standard del kernel Linux \u2014 cgroups, spazi dei nomi e seccomp, e come sistema di controllo degli accessi, cio\u00e8 per ulteriore isolamento, viene utilizzato SELinux<\/a><\/noindex> in modalit\u00e0 "enforcing".<\/p>\n

Di default, sono attive politiche per la suddivisione delle risorse tra contenitori e kernel. I binari sono protetti da flag, in modo che gli utenti o i programmi non possano eseguirli. E se qualcuno riesce ad accedere al filesystem, Bottlerocket offre uno strumento per verificare e monitorare eventuali modifiche apportate.<\/p>\n

La modalit\u00e0 \"bootsrap verificata\" \u00e8 implementata tramite la funzione device-mapper-verity (dm-verity<\/a><\/noindex>), che verifica l'integrit\u00e0 della partizione radice durante il caricamento. AWS descrive dm-verity come \u00abuna funzione del kernel Linux che fornisce la verifica dell'integrit\u00e0 per prevenire il funzionamento di malware nel sistema operativo, come la riscrittura del firmware di sistema principale\u00bb.<\/p>\n

\u00c8 presente anche un filtro eBPF<\/a><\/noindex> (BPF esteso, sviluppato da Alexey Starovoitov<\/a><\/noindex>), che consente di sostituire i moduli del kernel con programmi BPF pi\u00f9 sicuri per operazioni di sistema a basso livello.<\/p>\n

Modello di esecuzione
\nImpostato dall'utente
\nCompilazione
\nSicurezza
\nModalit\u00e0 di errore
\nAccesso alle risorse<\/p>\n

Utente<\/b>
\ncompito
\ns\u00ec
\nqualsiasi
\ndiritti degli utenti
\ninterruzione dell'esecuzione
\nchiamata di sistema, fault<\/p>\n

Il kernel<\/b>
\ncompito
\nno
\nstatico
\nno
\npanic del kernel
\ndiretto<\/p>\n

BPF<\/b>
\nevento
\ns\u00ec
\nJIT, CO-RE
\nverifica, JIT
\nmessaggio di errore
\nhelper limitati<\/p>\n

\nLa differenza tra BPF e il codice di livello utente o kernel normale \u00e8 fonte<\/a><\/noindex><\/i><\/p>\n

AWS ha dichiarato che Bottlerocket \u00abapplica un modello operativo che migliora ulteriormente la sicurezza, impedendo la connessione ai server di produzione con privilegi di amministratore\u00bb, e \u00ab\u00e8 adatto per grandi sistemi distribuiti, in cui \u00e8 limitato il controllo su ogni singolo host\u00bb.<\/p>\n

Per gli amministratori di sistema \u00e8 previsto un contenitore per gli amministratori. Ma AWS non crede che l'amministratore debba spesso lavorare all'interno di Bottlerocket: \u00abL'accesso a un'istanza separata di Bottlerocket \u00e8 destinato a operazioni rare: debug avanzato e risoluzione dei problemi\u00bb, \u2014 scrivono<\/a><\/noindex> gli sviluppatori.<\/p>\n

Il linguaggio Rust<\/h1>\n

\nL'ecosistema OS sopra il kernel \u00e8 principalmente scritto in Rust. Questo linguaggio, per sua natura, riduce la probabilit\u00e0 di accesso non sicuro alla memoria<\/a><\/noindex>, e inoltre elimina le condizioni di gara tra i thread<\/a><\/noindex>.<\/p>\n

Durante la compilazione predefinita, vengono applicate le flag --enable-default-pie<\/code> e --enable-default-ssp<\/code> per attivare la randomizzazione dello spazio degli indirizzi dei file eseguibili (eseguibile indipendente dalla posizione<\/a><\/noindex>, PIE) e la protezione contro il buffer overflow.<\/p>\n

Per i pacchetti in C\/C++ vengono inoltre incluse flag -Wall<\/code>, -Werror=format-security<\/code>, -Wp,-D_FORTIFY_SOURCE=2<\/code>, -Wp,-D_GLIBCXX_ASSERTIONS<\/code> e -fstack-clash-protection<\/code>.<\/p>\n

Oltre a Rust e C\/C++, alcuni pacchetti sono scritti in Go.<\/p>\n

Integrazione con i servizi AWS<\/h1>\n

\nLa differenza rispetto ad altri sistemi operativi containerizzati \u00e8 che Amazon ha ottimizzato Bottlerocket per l'uso su AWS e per l'integrazione con altri servizi AWS.<\/p>\n

Il pi\u00f9 popolare orchestratore di container \u00e8 Kubernetes, quindi AWS ha implementato l'integrazione con il proprio Enterprise Kubernetes Service (EKS). Gli strumenti per l'orchestrazione vengono forniti in un container di gestione separato bottlerocket-control-container<\/a><\/noindex>, attivato per impostazione predefinita e gestito tramite API e AWS SSM Agent.<\/p>\n

Sar\u00e0 interessante vedere se Bottlerocket avr\u00e0 successo, considerando il fallimento di alcune iniziative simili in passato. Ad esempio, PhotonOS di Vmware si \u00e8 rivelata poco richiesta, mentre RedHat ha acquisito CoreOS e ha chiuso il progetto<\/a><\/noindex>, che era considerato un pioniere in questo campo.<\/p>\n

L'integrazione di Bottlerocket nei servizi AWS rende questo sistema unico nel suo genere. Potrebbe essere la ragione principale per cui alcuni utenti potrebbero preferire Bottlerocket ad altre distribuzioni, come CoreOS o Alpine. Il sistema \u00e8 progettato principalmente per lavorare con EKS ed ECS, ma ripetiamo, non \u00e8 obbligatorio. In primo luogo, Bottlerocket pu\u00f2 essere costruito autonomamente<\/a><\/noindex> e utilizzato, ad esempio, come soluzione hosted. In secondo luogo, gli utenti di EKS ed ECS continueranno ad avere la possibilit\u00e0 di scegliere il proprio sistema operativo.<\/p>\n

Il codice sorgente di Bottlerocket \u00e8 pubblicato su GitHub con licenza Apache 2.0. Gli sviluppatori gi\u00e0 rispondono ai report di bug e alle richieste di funzionalit\u00e0<\/a><\/noindex>.<\/p>\n

<\/p>\n

In base alla pubblicit\u00e0<\/h4>\n

\nVDSina<\/b> offre VDS con pagamento giornaliero<\/a><\/noindex>. \u00c8 possibile installare qualsiasi sistema operativo, incluso il proprio immagine. Ogni server \u00e8 connesso a un canale Internet da 500 Megabit ed \u00e8 protetto gratuitamente da attacchi DDoS! <\/p>\n

\"\u00c8<\/a><\/noindex>
\n
Fonte: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Amazon \u043e\u0431\u044a\u044f\u0432\u0438\u043b\u0430 \u043e \u0444\u0438\u043d\u0430\u043b\u044c\u043d\u043e\u043c \u0440\u0435\u043b\u0438\u0437\u0435 Bottlerocket \u2014 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u0434\u0438\u0441\u0442\u0440\u0438\u0431\u0443\u0442\u0438\u0432\u0430 \u0434\u043b\u044f \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u043e\u0432 \u0438 \u044d\u0444\u0444\u0435\u043a\u0442\u0438\u0432\u043d\u043e\u0433\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0438\u043c\u0438. Bottlerocket (\u043a\u0441\u0442\u0430\u0442\u0438, \u0442\u0430\u043a \u043d\u0430\u0437\u044b\u0432\u0430\u044e\u0442 \u043c\u0435\u043b\u043a\u0438\u0435 \u0441\u0430\u043c\u043e\u0434\u0435\u043b\u044c\u043d\u044b\u0435 \u0440\u0430\u043a\u0435\u0442\u044b \u043d\u0430 \u0434\u044b\u043c\u043d\u043e\u043c \u043f\u043e\u0440\u043e\u0445\u0435) \u2014 \u043d\u0435 \u043f\u0435\u0440\u0432\u0430\u044f \u041e\u0421 \u0434\u043b\u044f \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u043e\u0432, \u043d\u043e \u0432\u043f\u043e\u043b\u043d\u0435 \u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e, \u0447\u0442\u043e \u043e\u043d\u0430 \u043f\u043e\u043b\u0443\u0447\u0438\u0442 \u0448\u0438\u0440\u043e\u043a\u043e\u0435 \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u0435 \u0431\u043b\u0430\u0433\u043e\u0434\u0430\u0440\u044f \u0434\u0435\u0444\u043e\u043b\u0442\u043d\u043e\u0439 \u0438\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u0438 \u0441 \u0441\u0435\u0440\u0432\u0438\u0441\u0430\u043c\u0438 AWS. \u0425\u043e\u0442\u044f \u0441\u0438\u0441\u0442\u0435\u043c\u0430 \u043e\u0440\u0438\u0435\u043d\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0430 \u043d\u0430 \u043e\u0431\u043b\u0430\u043a\u043e Amazon, \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u0439 \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u0439 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":94206,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-94205","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47\u00c8 stata rilasciata una distribuzione Linux minimalista Bottlerocket per l'esecuzione di container. Le cose pi\u00f9 importanti su di essa | ProHoster","description":"","canonical_url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/vyshel-minimalistichnyj-linux-distributiv-bottlerocket-dlya-zapuska-kontejnerov-samoe-glavnoe-o-nyom","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0412\u044b\u0448\u0435\u043b \u043c\u0438\u043d\u0438\u043c\u0430\u043b\u0438\u0441\u0442\u0438\u0447\u043d\u044b\u0439 Linux-\u0434\u0438\u0441\u0442\u0440\u0438\u0431\u0443\u0442\u0438\u0432 Bottlerocket \u0434\u043b\u044f \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u043e\u0432. \u0421\u0430\u043c\u043e\u0435 \u0433\u043b\u0430\u0432\u043d\u043e\u0435 \u043e \u043d\u0451\u043c | ProHoster","og:url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/vyshel-minimalistichnyj-linux-distributiv-bottlerocket-dlya-zapuska-kontejnerov-samoe-glavnoe-o-nyom","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-09-13T17:42:49+00:00","article:modified_time":"2020-09-13T17:42:49+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"94205","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 11:31:27","updated":"2022-10-03 07:42:47","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/94205","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=94205"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/94205\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media\/94206"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=94205"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=94205"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=94205"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}