ក្រុមហ៊ុន Amazon បានប្រកាស អំពីការចេញផ្សាយចុងក្រោយ បាតដប - ការចែកចាយឯកទេសសម្រាប់ដំណើរការកុងតឺន័រ និងការគ្រប់គ្រងប្រកបដោយប្រសិទ្ធភាព។

Bottlerocket (ដោយវិធីនេះឈ្មោះដែលបានផ្តល់ឱ្យគ្រាប់រ៉ុក្កែតខ្មៅដែលផលិតនៅផ្ទះ) មិនមែនជា OS ដំបូងសម្រាប់កុងតឺន័រនោះទេប៉ុន្តែវាទំនងជាថាវានឹងក្លាយទៅជារីករាលដាលដោយសារការរួមបញ្ចូលលំនាំដើមជាមួយសេវាកម្ម AWS ។ ទោះបីជាប្រព័ន្ធនេះផ្តោតលើ Amazon cloud ក៏ដោយ កូដប្រភពបើកចំហអនុញ្ញាតឱ្យវាត្រូវបានបង្កើតឡើងនៅគ្រប់ទីកន្លែង៖ នៅក្នុងមូលដ្ឋាននៅលើម៉ាស៊ីនមេ លើ Raspberry Pi នៅក្នុងពពកដែលប្រកួតប្រជែងណាមួយ និងសូម្បីតែនៅក្នុងបរិយាកាសដែលគ្មានកុងតឺន័រ។

នេះគឺជាការជំនួសដ៏សក្ដិសមទាំងស្រុងសម្រាប់ការចែកចាយ CoreOS ដែល Red Hat កប់។

តាមពិតទៅ ផ្នែកសេវាកម្ម Amazon Web Services មាន Amazon Linux រួចហើយ ដែលថ្មីៗនេះបានចេញនៅក្នុងកំណែទីពីររបស់វា៖ វាគឺជាការចែកចាយគោលបំណងទូទៅដែលអាចដំណើរការក្នុង Docker container ឬជាមួយ Linux KVM, Microsoft Hyper-V, និង VMware អ្នកត្រួតពិនិត្យ ESXi ។ វាត្រូវបានធ្វើឱ្យប្រសើរឡើងដើម្បីដំណើរការលើពពក AWS ប៉ុន្តែជាមួយនឹងការចេញផ្សាយ Bottlerocket អ្នករាល់គ្នាត្រូវបានលើកទឹកចិត្តឱ្យដំឡើងកំណែទៅប្រព័ន្ធថ្មីមួយដែលកាន់តែមានសុវត្ថិភាព ទំនើប និងប្រើប្រាស់ធនធានតិចជាងមុន។

AWS បានប្រកាសអំពី Bottlerocket នៅខែមីនា ឆ្នាំ 2020. នាង​បាន​ទទួល​ស្គាល់​ភ្លាម​ថា​នេះ​មិន​មែន​ជា "Linux for containers" ដំបូង​ឡើយ ដោយ​លើក​ឡើង​ពី CoreOS, Rancher OS និង Project Atomic ជា​ប្រភព​នៃ​ការ​បំផុស​គំនិត។ អ្នកអភិវឌ្ឍន៍បានសរសេរថាប្រព័ន្ធប្រតិបត្តិការគឺជា "លទ្ធផលនៃមេរៀនដែលយើងបានរៀនពីការដំណើរការសេវាកម្មផលិតកម្មនៅខ្នាតរបស់ Amazon អស់រយៈពេលជាយូរមកហើយ និងបទពិសោធន៍ដែលយើងទទួលបានក្នុងរយៈពេលប្រាំមួយឆ្នាំចុងក្រោយនេះអំពីរបៀបដំណើរការកុងតឺន័រ"។

តិចតួចបំផុត។

លីនុចត្រូវបានដកចេញនូវអ្វីគ្រប់យ៉ាងដែលមិនចាំបាច់ដើម្បីដំណើរការកុងតឺន័រ។ ការរចនានេះបើយោងតាមក្រុមហ៊ុនកាត់បន្ថយផ្ទៃវាយប្រហារ។

នេះមានន័យថាកញ្ចប់តិចជាងមុនត្រូវបានដំឡើងនៅលើប្រព័ន្ធមូលដ្ឋាន ដែលធ្វើឱ្យវាកាន់តែងាយស្រួលក្នុងការថែទាំ និងអាប់ដេតប្រព័ន្ធប្រតិបត្តិការ ហើយក៏កាត់បន្ថយលទ្ធភាពនៃបញ្ហាដោយសារតែភាពអាស្រ័យ កាត់បន្ថយការប្រើប្រាស់ធនធាន។ ជាទូទៅ អ្វីគ្រប់យ៉ាងនៅទីនេះដំណើរការនៅក្នុងធុងដាច់ដោយឡែក ហើយប្រព័ន្ធមូលដ្ឋានគឺទទេ។

Amazon ក៏បានដកសែល និងអ្នកបកប្រែទាំងអស់ចេញផងដែរ ដោយលុបបំបាត់ហានិភ័យនៃការប្រើពួកវា ឬអ្នកប្រើប្រាស់បង្កើនសិទ្ធិដោយចៃដន្យ។ សម្រាប់ជាប្រយោជន៍នៃភាពតិចតួចបំផុត និងសុវត្ថិភាព រូបភាពមូលដ្ឋានមិនរួមបញ្ចូលសែលពាក្យបញ្ជា ម៉ាស៊ីនមេ SSH ឬភាសាដែលបានបកប្រែដូចជា Python ទេ។ ឧបករណ៍អ្នកគ្រប់គ្រងត្រូវបានដាក់ក្នុងធុងសេវាកម្មដាច់ដោយឡែក ដែលត្រូវបានបិទតាមលំនាំដើម។

ប្រព័ន្ធនេះត្រូវបានគ្រប់គ្រងតាមពីរវិធី៖ តាមរយៈ API និង orchestration ។

ជំនួសឱ្យកម្មវិធីគ្រប់គ្រងកញ្ចប់ដែលធ្វើបច្ចុប្បន្នភាពផ្នែកនីមួយៗនៃកម្មវិធី Bottlerocket ទាញយករូបភាពប្រព័ន្ធឯកសារពេញលេញ ហើយចាប់ផ្តើមឡើងវិញទៅក្នុងវា។ ប្រសិនបើការផ្ទុកបរាជ័យ វានឹងវិលត្រឡប់មកវិញដោយស្វ័យប្រវត្តិ ហើយការបរាជ័យនៃបន្ទុកអាចបង្កឱ្យមានការវិលត្រឡប់មកវិញដោយដៃ (ពាក្យបញ្ជាតាមរយៈ API)។

ក្របខ័ណ្ឌ TUF (ក្របខ័ណ្ឌធ្វើបច្ចុប្បន្នភាព) ទាញយកការអាប់ដេតផ្អែកលើរូបភាពទៅភាគថាសជំនួស ឬ "មិនបានម៉ោន" ។ ភាគថាសពីរត្រូវបានបម្រុងទុកសម្រាប់ប្រព័ន្ធ ដែលមួយក្នុងចំណោមនោះមានប្រព័ន្ធសកម្ម ហើយការធ្វើបច្ចុប្បន្នភាពត្រូវបានចម្លងទៅទីពីរ។ ក្នុងករណីនេះ ភាគថាសជា root ត្រូវបានម៉ោននៅក្នុងរបៀបបានតែអាន និងភាគថាស /etc ភ្ជាប់ជាមួយប្រព័ន្ធឯកសារក្នុង RAM tmpfs និងស្ដារស្ថានភាពដើមឡើងវិញ បន្ទាប់ពីការចាប់ផ្តើមឡើងវិញ។ ការកែប្រែដោយផ្ទាល់នៃឯកសារកំណត់រចនាសម្ព័ន្ធនៅក្នុង /etc មិនគាំទ្រ៖ ដើម្បីរក្សាទុកការកំណត់ អ្នកគួរតែប្រើ API ឬផ្លាស់ទីមុខងារទៅក្នុងធុងដាច់ដោយឡែក។

គ្រោងការណ៍ធ្វើបច្ចុប្បន្នភាព API

សន្តិសុខ

កុងតឺន័រត្រូវបានបង្កើតឡើងដោយយន្តការស្ដង់ដារនៃខឺណែលលីនុច - cgroups namespaces និង seccomp ហើយត្រូវបានប្រើជាប្រព័ន្ធគ្រប់គ្រងការចូលប្រើដោយបង្ខំ ពោលគឺសម្រាប់ភាពឯកោបន្ថែម។ SELinux នៅក្នុងរបៀប "អនុវត្ត" ។

តាមលំនាំដើម គោលការណ៍ត្រូវបានបើកដើម្បីចែករំលែកធនធានរវាងកុងតឺន័រ និងខឺណែល។ ប្រព័ន្ធគោលពីរត្រូវបានការពារដោយទង់ ដើម្បីរារាំងអ្នកប្រើប្រាស់ ឬកម្មវិធីពីការប្រតិបត្តិពួកវា។ ហើយប្រសិនបើនរណាម្នាក់ចូលទៅកាន់ប្រព័ន្ធឯកសារនោះ Bottlerocket ផ្តល់នូវឧបករណ៍មួយដើម្បីពិនិត្យ និងតាមដានការផ្លាស់ប្តូរណាមួយដែលបានធ្វើ។

របៀប "ផ្ទៀងផ្ទាត់ការចាប់ផ្ដើម" ត្រូវបានអនុវត្តតាមរយៈមុខងារឧបករណ៍-mapper-verity (dm-ការពិត) ដែលពិនិត្យភាពត្រឹមត្រូវនៃភាគថាសជា root កំឡុងពេលចាប់ផ្ដើម។ AWS ពិពណ៌នាអំពី dm-verity ថាជា "លក្ខណៈពិសេសមួយនៃខឺណែលលីនុច ដែលផ្តល់ការត្រួតពិនិត្យភាពសុចរិត ដើម្បីការពារមេរោគពីការដំណើរការនៅលើប្រព័ន្ធប្រតិបត្តិការ ដូចជាការសរសេរជាន់លើកម្មវិធីប្រព័ន្ធស្នូល។"

វាក៏មានតម្រងនៅក្នុងប្រព័ន្ធផងដែរ។ អេប៊ីភីអេហ្វ (បន្ថែម BPF, បង្កើតឡើងដោយ Alexey Starovoitov) ដែលអនុញ្ញាតឱ្យម៉ូឌុលខឺណែលត្រូវបានជំនួសដោយកម្មវិធី BPF ដែលមានសុវត្ថិភាពជាងមុនសម្រាប់ប្រតិបត្តិការប្រព័ន្ធកម្រិតទាប។

គំរូប្រតិបត្តិ
អ្នកប្រើប្រាស់កំណត់
ការចងក្រង
សន្តិសុខ
របៀបបរាជ័យ
ការចូលប្រើធនធាន

អ្នក​ប្រើ
ភារកិច្ចមួយ
បាទ
ណាមួយ
សិទ្ធិអ្នកប្រើប្រាស់
ផ្អាកការប្រតិបត្តិ
ការហៅប្រព័ន្ធ, កំហុស

ស្នូល
ភារកិច្ចមួយ
គ្មាន
ឋិតិវន្ត
គ្មាន
ខឺណែលភ័យស្លន់ស្លោ
ត្រង់

BPF
ព្រឹត្តិការណ៍
បាទ
JIT, CO-RE
ការផ្ទៀងផ្ទាត់, JIT
សារកំហុស
អ្នកជំនួយមានកំណត់

របៀបដែល BPF ខុសពីអ្នកប្រើប្រាស់ធម្មតា ឬកូដកម្រិតខឺណែល។ ប្រភព

AWS បាននិយាយថា Bottlerocket "ប្រើគំរូប្រតិបត្តិការដែលបង្កើនសុវត្ថិភាពបន្ថែមទៀតដោយការពារការតភ្ជាប់ទៅម៉ាស៊ីនមេផលិតកម្មដែលមានសិទ្ធិគ្រប់គ្រង" និង "សមរម្យសម្រាប់ប្រព័ន្ធចែកចាយធំដែលការគ្រប់គ្រងលើម៉ាស៊ីននីមួយៗត្រូវបានកំណត់" ។

កុងតឺន័រអ្នកគ្រប់គ្រងត្រូវបានផ្តល់ជូនសម្រាប់អ្នកគ្រប់គ្រងប្រព័ន្ធ។ ប៉ុន្តែ AWS មិនគិតថាអ្នកគ្រប់គ្រងនឹងត្រូវធ្វើការនៅខាងក្នុង Bottlerocket ញឹកញាប់ទេ៖ "ទង្វើនៃការចូលទៅក្នុងឧទាហរណ៍ Bottlerocket ដាច់ដោយឡែកគឺត្រូវបានបម្រុងទុកសម្រាប់ប្រតិបត្តិការដែលមិនញឹកញាប់៖ ការកែកំហុសកម្រិតខ្ពស់ និងការដោះស្រាយបញ្ហា" សរសេរ អ្នកអភិវឌ្ឍន៍។

ភាសាច្រេះ

ឧបករណ៍ OS នៅផ្នែកខាងលើនៃខឺណែល ភាគច្រើនត្រូវបានសរសេរជា Rust ។ ភាសានេះគឺដោយធម្មជាតិរបស់វា។ កាត់បន្ថយលទ្ធភាពនៃការចូលប្រើអង្គចងចាំដែលមិនមានសុវត្ថិភាព, ក៏ដូចជា លុបបំបាត់លក្ខខណ្ឌប្រណាំងរវាងខ្សែស្រឡាយ.

ទង់ត្រូវបានអនុវត្តតាមលំនាំដើមនៅពេលសាងសង់ --enable-default-pie и --enable-default-ssp ដើម្បីបើកការចៃដន្យនៃទំហំអាសយដ្ឋាននៃឯកសារដែលអាចប្រតិបត្តិបាន (ទីតាំង - ឯករាជ្យអាចប្រតិបត្តិបាន។, PIE) និងការការពារការហៀរជង់។

សម្រាប់កញ្ចប់ C/C++ ទង់បន្ថែមត្រូវបានរួមបញ្ចូល -Wall, -Werror=format-security, -Wp,-D_FORTIFY_SOURCE=2, -Wp,-D_GLIBCXX_ASSERTIONS и -fstack-clash-protection.

ក្រៅពី Rust និង C/C++ កញ្ចប់មួយចំនួនត្រូវបានសរសេរនៅក្នុង Go ។

ការរួមបញ្ចូលជាមួយសេវាកម្ម AWS

ភាពខុសគ្នាពីប្រព័ន្ធប្រតិបត្តិការធុងស្រដៀងគ្នាគឺថា Amazon បានបង្កើនប្រសិទ្ធភាព Bottlerocket ដើម្បីដំណើរការលើ AWS និងរួមបញ្ចូលជាមួយសេវាកម្ម AWS ផ្សេងទៀត។

អ្នករៀបចំកុងតឺន័រដ៏ពេញនិយមបំផុតគឺ Kubernetes ដូច្នេះ AWS បានណែនាំការរួមបញ្ចូលជាមួយសហគ្រាស Kubernetes Service (EKS) របស់ខ្លួន។ ឧបករណ៍ Orchestration មាននៅក្នុងធុងគ្រប់គ្រងដាច់ដោយឡែកមួយ។ bottlerocket-control-containerដែលត្រូវបានបើកតាមលំនាំដើម និងគ្រប់គ្រងតាមរយៈ API និង AWS SSM Agent ។

វានឹងគួរឱ្យចាប់អារម្មណ៍ក្នុងការមើលថាតើ Bottlerocket ចាប់ផ្តើមឬអត់ ដោយសារការបរាជ័យនៃគំនិតផ្តួចផ្តើមស្រដៀងគ្នាមួយចំនួនកាលពីអតីតកាល។ ឧទាហរណ៍ PhotonOS ពី Vmware ប្រែជាមិនមានការអះអាងទេ ហើយ RedHat បានទិញ CoreOS និង បានបិទគម្រោងដែលត្រូវបានចាត់ទុកថាជាអ្នកត្រួសត្រាយក្នុងវិស័យនេះ។

ការរួមបញ្ចូលរបស់ Bottlerocket ទៅក្នុងសេវាកម្ម AWS ធ្វើឱ្យប្រព័ន្ធនេះមានលក្ខណៈពិសេសតាមរបៀបរបស់វា។ នេះប្រហែលជាហេតុផលចម្បងដែលអ្នកប្រើប្រាស់មួយចំនួនអាចចូលចិត្ត Bottlerocket ជាងការចែកចាយផ្សេងទៀតដូចជា CoreOS ឬ Alpine ។ ប្រព័ន្ធនេះត្រូវបានរចនាឡើងដំបូងដើម្បីធ្វើការជាមួយ EKS និង ECS ប៉ុន្តែយើងនិយាយម្តងទៀតថាវាមិនចាំបាច់ទេ។ ទីមួយ Bottlerocket អាចធ្វើបាន ប្រមូលផ្តុំដោយខ្លួនឯង។ ហើយប្រើវា ជាឧទាហរណ៍ ជាដំណោះស្រាយដែលបានបង្ហោះ។ ទីពីរ អ្នកប្រើប្រាស់ EKS និង ECS នឹងនៅតែមានលទ្ធភាពជ្រើសរើស OS របស់ពួកគេ។

កូដប្រភព Bottlerocket ត្រូវបានបោះពុម្ពនៅលើ GitHub ក្រោមអាជ្ញាប័ណ្ណ Apache 2.0 ។ អ្នកអភិវឌ្ឍន៍មានរួចហើយ ឆ្លើយតបទៅនឹងរបាយការណ៍កំហុស និងសំណើមុខងារ.

អំពីសិទ្ធិផ្សព្វផ្សាយ

វីឌីស៊ីណា ការផ្តល់ជូន VDS ជាមួយនឹងការទូទាត់ប្រចាំថ្ងៃ. វាអាចធ្វើទៅបានដើម្បីដំឡើងប្រព័ន្ធប្រតិបត្តិការណាមួយរួមទាំងពីរូបភាពផ្ទាល់ខ្លួនរបស់អ្នក។ ម៉ាស៊ីនមេនីមួយៗត្រូវបានភ្ជាប់ទៅបណ្តាញអ៊ីនធឺណែត 500 មេហ្គាប៊ីត ហើយត្រូវបានការពារពីការវាយប្រហារដោយ DDoS ដោយឥតគិតថ្លៃ!

ប្រភព: www.habr.com