מיקרוסופט פרסמה עדכון להפצת לינוקס CBL-Mariner

מיקרוסופט פרסמה עדכון להפצת CBL-Mariner 1.0.20210901 (Common Base Linux Mariner), המפותחת כפלטפורמת בסיס אוניברסלית עבור סביבות לינוקס המשמשות בתשתית ענן, מערכות קצה ושירותים שונים של מיקרוסופט. הפרויקט נועד לאחד את פתרונות לינוקס של מיקרוסופט ולפשט את התחזוקה של מערכות לינוקס למטרות שונות עדכניות. הפיתוחים של הפרויקט מופצים תחת רישיון MIT.

במהדורה החדשה:

• היווצרות תמונת ה-iso הבסיסית (700 מגה-בייט) החלה. במהדורה הראשונה לא סופקו תמונות ISO מוכנות; ההנחה הייתה שהמשתמש יכול ליצור תמונה עם המילוי הדרוש (הוכנו הוראות הרכבה עבור אובונטו 18.04).
• הוטמעה תמיכה בעדכוני חבילה אוטומטיים, עבורם כלולה אפליקציית Dnf-Automatic.
• ליבת לינוקס עודכנה לגרסה 5.10.60.1. גרסאות תוכנית מעודכנות, כולל openvswitch 2.15.1, golang 1.16.7, logrus 1.8.1, tcell 1.4.0, gonum 0.9.3, testify 1.7.0, crunchy 0.4.0, xz 0.5.10, swig 4.0.2, squashfs-tools 4.4, mysql 8.0.26.
• OpenSSL מספק את האפשרות להחזיר תמיכה עבור TLS 1 ו-TLS 1.1.
• כדי לבדוק את קוד המקור של ערכת הכלים, נעשה שימוש בכלי השירות sha256sum.
• חבילות חדשות כללו: כלים וכו', תא הטייס, עזר, fipscheck, tini.
• החבילות brp-strip-debug-symbols, brp-strip-unneeded ו-ca-legacy הוסרו. הוסרו קבצי SPEC עבור חבילות Dotnet ו-aspnetcore, אשר מורכבות כעת על ידי צוות הפיתוח הליבה של .NET וממוקמים במאגר נפרד.
• תיקוני פגיעות הועברו לגרסאות החבילה בהן נעשה שימוש.

נזכיר כי הפצת CBL-Mariner מספקת סט סטנדרטי קטן של חבילות בסיסיות המשמשות כבסיס אוניברסלי ליצירת תכולת קונטיינרים, סביבות מארחות ושירותים הפועלים בתשתיות ענן ובמכשירי קצה. ניתן ליצור פתרונות מורכבים ומיוחדים יותר על ידי הוספת חבילות נוספות על גבי CBL-Mariner, אך הבסיס לכל המערכות הללו נשאר זהה, מה שמקל על התחזוקה והעדכונים. לדוגמה, CBL-Mariner משמש כבסיס למיני-הפצה WSLg, המספקת רכיבי מחסנית גרפית להפעלת יישומי GUI של Linux בסביבות המבוססות על תת-מערכת WSL2 (Windows Subsystem for Linux). פונקציונליות מורחבת ב-WSLg מושגת באמצעות הכללת חבילות נוספות עם Weston Composite Server, XWayland, PulseAudio ו-FreeRDP.

מערכת הבנייה של CBL-Mariner מאפשרת לך ליצור גם חבילות RPM בודדות המבוססות על קבצי SPEC וקוד מקור, וגם תמונות מערכת מונוליטיות שנוצרו באמצעות ערכת הכלים rpm-ostree ומתעדכנות מבחינה אטומית מבלי להתפצל לחבילות נפרדות. בהתאם לכך, שני מודלים של מסירת עדכונים נתמכים: באמצעות עדכון חבילות בודדות ודרך בנייה מחדש ועדכון של תמונת המערכת כולה. זמין מאגר של כ-3000 חבילות RPM מובנות מראש שבהן תוכלו להשתמש כדי לבנות תמונות משלכם על סמך קובץ תצורה.

ההפצה כוללת רק את הרכיבים הדרושים ביותר והיא מותאמת לצריכת זיכרון מינימלית וצריכת שטח דיסק, כמו גם למהירות טעינה גבוהה. ההפצה בולטת גם בהכללת מנגנונים נוספים שונים לשיפור האבטחה. הפרויקט נוקט בגישת "אבטחה מרבית כברירת מחדל". אפשר לסנן קריאות מערכת באמצעות מנגנון seccomp, להצפין מחיצות דיסק ולאמת חבילות באמצעות חתימה דיגיטלית.

מופעלים מצבי אקראי של מרחב כתובות הנתמכים בליבת לינוקס, כמו גם מנגנוני הגנה מפני התקפות סימלינק, mmap, /dev/mem ו-/dev/kmem. אזורי הזיכרון המכילים מקטעים עם נתוני ליבה ומודול מוגדרים למצב קריאה בלבד וביצוע קוד אסור. אפשרות אופציונלית היא לבטל טעינת מודולי ליבה לאחר אתחול המערכת. ערכת הכלים iptables משמשת לסינון מנות רשת. בשלב הבנייה, הגנה מפני הצפת מחסנית, גלישת מאגר ובעיות עיצוב מחרוזת מופעלת כברירת מחדל (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro).

מערכת מנהל המערכת משמשת לניהול שירותים ולאתחול. לניהול חבילות, מנהלי חבילות RPM ו-DNF (גרסה tdnf מ-vmWare) מסופקים. שרת SSH אינו מופעל כברירת מחדל. כדי להתקין את ההפצה, מסופק מתקין שיכול לעבוד הן במצבי טקסט והן במצב גרפי. המתקין מספק אפשרות התקנה עם סט מלא או בסיסי של חבילות, ומציע ממשק לבחירת מחיצת דיסק, בחירת שם מארח ויצירת משתמשים.

מקור: OpenNet.ru