Bottlerocket 1.8 kasedhiya, distribusi adhedhasar wadhah sing terisolasi

Rilis distribusi Linux Bottlerocket 1.8.0 wis diterbitake, dikembangake kanthi partisipasi Amazon kanggo mbukak wadhah sing terisolasi kanthi efektif lan aman. Komponen toolkit lan kontrol distribusi ditulis ing Rust lan disebarake miturut lisensi MIT lan Apache 2.0. Ndhukung mbukak Bottlerocket ing Amazon ECS, VMware, lan AWS EKS Kubernetes kluster, uga nggawe mbangun lan edisi khusus sing ngidini orkestrasi lan alat runtime sing beda kanggo kontaner.

Distribusi kasebut nyedhiyakake gambar sistem sing ora bisa dibagi kanthi otomatis lan otomatis dianyari sing kalebu kernel Linux lan lingkungan sistem minimal sing kalebu mung komponen sing dibutuhake kanggo mbukak wadhah. Lingkungan kasebut kalebu manajer sistem sistem, perpustakaan Glibc, alat mbangun Buildroot, bootloader GRUB, konfigurator jaringan sing jahat, wadhah kontainer terisolasi, platform orkestrasi wadah Kubernetes, aws-iam-authenticator, lan agen Amazon ECS .

Piranti orkestrasi wadhah kasedhiya ing wadhah manajemen sing kapisah sing diaktifake kanthi standar lan dikelola liwat Agen API lan AWS SSM. Gambar dhasar ora duwe cangkang perintah, server SSH, lan basa sing diinterpretasikake (contone, ora ana Python utawa Perl) - alat administratif lan debugging dipindhah menyang wadhah layanan sing kapisah, sing dipateni kanthi standar.

Bentenane utama saka distribusi sing padha kayata Fedora CoreOS, CentOS / Red Hat Atomic Host yaiku fokus utamane kanggo nyedhiyakake keamanan maksimal ing konteks nguatake proteksi sistem nglawan ancaman sing bisa ditindakake, nyepetake eksploitasi kerentanan ing komponen OS lan nambah isolasi wadah. Wadah digawe nggunakake mekanisme biasa saka kernel Linux - cgroups, namespaces lan seccomp. Kanggo isolasi tambahan, distribusi nggunakake SELinux ing mode "menerapake".

Partisi root dipasang ing mode mung maca, lan partisi kanthi setelan / etc dipasang ing tmpfs lan dibalekake menyang negara asline sawise diwiwiti maneh. Modifikasi langsung file ing direktori /etc, kayata /etc/resolv.conf lan /etc/containerd/config.toml, ora didhukung - kanggo nyimpen setelan permanen, sampeyan kudu nggunakake API utawa mindhah fungsi kanggo kontaner kapisah. Kanggo verifikasi kriptografi saka integritas partisi ROOT, modul dm-verity digunakake, lan yen nyoba kanggo ngowahi data ing tingkat piranti pamblokiran dideteksi, sistem reboots.

Umume komponen sistem ditulis ing Rust, sing nyedhiyakake alat sing aman kanggo memori kanggo ngindhari kerentanan sing disebabake dening ngatasi area memori sawise dibebasake, nuli null pointer, lan overruns buffer. Nalika mbangun, mode kompilasi "--enable-default-pie" lan "--enable-default-ssp" digunakake kanthi gawan kanggo ngaktifake acak spasi alamat file eksekusi (PIE) lan pangayoman marang tumpukan overflows liwat substitusi label kenari. Kanggo paket sing ditulis ing C/C++, gendéra "-Wall", "-Werror=format-security", "-Wp,-D_FORTIFY_SOURCE=2", "-Wp,-D_GLIBCXX_ASSERTIONS" lan "-fstack-clash" minangka tambahan. klebu - pangayoman.

Ing release anyar:

• Обновлено содержимое административного и управляющего контейнеров.
• Runtime для изолированных контейнеров обновлён до ветки containerd 1.6.x.
• Обеспечен перезапуск фоновых процессов, координирующих работу контейнеров, после изменений в хранилище сертификатов.
• Предоставлена возможность выставления загрузочных параметров ядра через секцию Boot Configuration.
• Включено игнорирование пустых блоков при контроле целостности корневого раздела при помощи dm-verity.
• Предоставлена возможность статической привязки имён хостов в /etc/hosts.
• Предоставлена возможность генерации сетевой конфигурации при помощи утилиты netdog (добавлена команда generate-net-config).
• Предложены новые варианты дистрибутива c поддержкой Kubernetes 1.23. Сокращено время запуска pod-ов в Kubernetes за счёт отключения режима configMapAndSecretChangeDetectionStrategy. Добавлены новые настройки kubelet-ов: provider-id и podPidsLimit.
• Предложен новый вариант дистрибутива «aws-ecs-1-nvidia» для Amazon Elastic Container Service (Amazon ECS), поставляемый с драйверами NVIDIA.
• Добавлена поддержка устройств хранения Microchip Smart Storage и MegaRAID SAS. Расширена поддержка Ethernet-карт на чипах Broadcom.
• Обновлены версии пакетов и зависимости для языков Go и Rust, а также версии пакетов со сторонними программами. Bottlerocket SDK обновлён до версии 0.26.0.

Source: opennet.ru