Amazon ເຜີຍແຜ່ Bottlerocket 1.0.0, ການແຈກຢາຍ Linux ໂດຍອີງໃສ່ຖັງທີ່ແຍກອອກ

ບໍລິສັດ Amazon ນຳ ສະ ເໜີ ການປ່ອຍທີ່ສໍາຄັນຄັ້ງທໍາອິດຂອງການແຈກຢາຍ Linux ທີ່ອຸທິດຕົນ ຂວດນ້ອຍ 1.0.0, ອອກແບບມາເພື່ອແລ່ນພາຊະນະທີ່ໂດດດ່ຽວຢ່າງມີປະສິດທິພາບ ແລະ ປອດໄພ. ເຄື່ອງມືການແຈກຢາຍແລະອົງປະກອບການຄວບຄຸມແມ່ນຂຽນໃນ Rust ແລະ ແຜ່​ກະ​ຈາຍ​ເຊື້ອ ພາຍໃຕ້ໃບອະນຸຍາດ MIT ແລະ Apache 2.0. ໂຄງການດັ່ງກ່າວກໍາລັງຖືກພັດທະນາຢູ່ໃນ GitHub ແລະສາມາດໃຊ້ໄດ້ສໍາລັບການມີສ່ວນຮ່ວມໂດຍສະມາຊິກຊຸມຊົນ. ຮູບພາບການນຳໃຊ້ລະບົບແມ່ນສ້າງຂຶ້ນສຳລັບສະຖາປັດຕະຍະກຳ x86_64 ແລະ Aarch64. OS ໄດ້ຖືກດັດແປງໃຫ້ແລ່ນຢູ່ໃນກຸ່ມ Amazon ECS ແລະ AWS EKS Kubernetes. ແມ່ນສະຫນອງໃຫ້ ເຄື່ອງ​ມື​ສໍາ​ລັບ​ການ​ສ້າງ​ກອງ​ປະ​ຊຸມ​ແລະ​ສະ​ບັບ​ຂອງ​ຕົນ​ເອງ​, ທີ່​ສາ​ມາດ​ນໍາ​ໃຊ້​ເຄື່ອງ​ມື orchestration ອື່ນໆ​, kernels ແລະ runtime ສໍາ​ລັບ​ພາ​ຊະ​ນະ​.

ການແຈກຢາຍໃຫ້ Linux kernel ແລະສະພາບແວດລ້ອມຂອງລະບົບຫນ້ອຍ, ລວມທັງພຽງແຕ່ອົງປະກອບທີ່ຈໍາເປັນເພື່ອດໍາເນີນການ containers. ໃນ​ບັນ​ດາ​ການ​ຫຸ້ມ​ຫໍ່​ທີ່​ມີ​ສ່ວນ​ຮ່ວມ​ໃນ​ໂຄງ​ການ​ແມ່ນ​ຜູ້​ຈັດ​ການ​ລະ​ບົບ systemd​, ຫ້ອງ​ສະ​ຫມຸດ Glibc​, ແລະ​ເຄື່ອງ​ມື​ການ​ປະ​ກອບ​.
Buildroot, GRUB bootloader, ການຕັ້ງຄ່າເຄືອຂ່າຍ ຄົນຊົ່ວຮ້າຍ, runtime ສໍາລັບການບັນຈຸທີ່ໂດດດ່ຽວ ພາຊະນະ, Kubernetes container orchestration platform, aws-iam-authenticator, ແລະ Amazon ECS agent.

ການແຜ່ກະຈາຍໄດ້ຖືກປັບປຸງແບບປະລໍາມະນູແລະຖືກຈັດສົ່ງໃນຮູບແບບຂອງຮູບພາບລະບົບທີ່ບໍ່ສາມາດແຍກໄດ້. ສອງການແບ່ງປັນແຜ່ນຖືກຈັດສັນສໍາລັບລະບົບ, ຫນຶ່ງໃນນັ້ນປະກອບດ້ວຍລະບົບທີ່ມີການເຄື່ອນໄຫວ, ແລະການປັບປຸງຈະຖືກຄັດລອກໃສ່ທີສອງ. ຫຼັງຈາກການປັບປຸງໄດ້ຖືກປະຕິບັດ, ການແບ່ງປັນທີສອງກາຍເປັນການເຄື່ອນໄຫວ, ແລະໃນຄັ້ງທໍາອິດ, ຈົນກ່ວາການປັບປຸງຕໍ່ໄປມາຮອດ, ຮຸ່ນກ່ອນຫນ້າຂອງລະບົບຈະຖືກບັນທຶກໄວ້, ເຊິ່ງທ່ານສາມາດກັບຄືນໄດ້ຖ້າບັນຫາເກີດຂື້ນ. ການປັບປຸງໄດ້ຖືກຕິດຕັ້ງໂດຍອັດຕະໂນມັດໂດຍບໍ່ມີການແຊກແຊງຂອງຜູ້ເບິ່ງແຍງ.

ຄວາມແຕກຕ່າງທີ່ ສຳ ຄັນຈາກການແຈກຢາຍທີ່ຄ້າຍຄືກັນເຊັ່ນ Fedora CoreOS, CentOS / Red Hat Atomic Host ແມ່ນຈຸດສຸມຕົ້ນຕໍໃນການສະຫນອງ. ຄວາມ​ປອດ​ໄພ​ສູງ​ສຸດ​ ໃນສະພາບການຂອງການສ້າງຄວາມເຂັ້ມແຂງການປົກປ້ອງລະບົບຈາກໄພຂົ່ມຂູ່ທີ່ເປັນໄປໄດ້, ເຮັດໃຫ້ມັນມີຄວາມຫຍຸ້ງຍາກຫຼາຍທີ່ຈະຂຸດຄົ້ນຊ່ອງໂຫວ່ໃນອົງປະກອບ OS ແລະເພີ່ມທະວີການໂດດດ່ຽວຂອງບັນຈຸ. ຕູ້ຄອນເທນເນີຖືກສ້າງຂື້ນໂດຍໃຊ້ກົນໄກມາດຕະຖານ Linux kernel - cgroups, namespaces ແລະ seccomp. ສໍາລັບການໂດດດ່ຽວເພີ່ມເຕີມ, ການແຈກຢາຍໃຊ້ SELinux ໃນໂຫມດ "ການບັງຄັບໃຊ້", ແລະໂມດູນຖືກນໍາໃຊ້ສໍາລັບການຢັ້ງຢືນການເຂົ້າລະຫັດລັບຂອງຄວາມສົມບູນຂອງການແບ່ງປັນຮາກ. dm-verity. ຖ້າຄວາມພະຍາຍາມທີ່ຈະແກ້ໄຂຂໍ້ມູນໃນລະດັບອຸປະກອນຕັນໄດ້ຖືກກວດພົບ, ລະບົບຈະປິດເປີດໃຫມ່.

ການແບ່ງປັນຮາກແມ່ນຕິດຢູ່ແບບອ່ານເທົ່ານັ້ນ, ແລະພາທິຊັນການຕັ້ງຄ່າ /etc ຖືກຕິດຕັ້ງຢູ່ໃນ tmpfs ແລະຟື້ນຟູຄືນສູ່ສະພາບເດີມຫຼັງຈາກປິດເປີດໃໝ່. ການດັດແກ້ໂດຍກົງຂອງໄຟລ໌ໃນໄດເລກະທໍລີ /etc, ເຊັ່ນ /etc/resolv.conf ແລະ /etc/containerd/config.toml, ບໍ່ໄດ້ຮັບການສະຫນັບສະຫນູນ - ເພື່ອບັນທຶກການຕັ້ງຄ່າຖາວອນ, ທ່ານຕ້ອງໃຊ້ API ຫຼືຍ້າຍຫນ້າທີ່ເຂົ້າໄປໃນຖັງແຍກຕ່າງຫາກ.

ອົງປະກອບຂອງລະບົບສ່ວນໃຫຍ່ຖືກຂຽນໄວ້ໃນ Rust, ເຊິ່ງໃຫ້ຄຸນສົມບັດທີ່ປອດໄພໃນໜ່ວຍຄວາມຈຳເພື່ອຫຼີກລ່ຽງຊ່ອງໂຫວ່ທີ່ເກີດຈາກການເຂົ້າເຖິງໜ່ວຍຄວາມຈຳພາຍຫຼັງທີ່ບໍ່ມີການເຂົ້າໃຊ້, ການອ້າງອີງຕົວຊີ້ null, ແລະ buffer overruns. ເມື່ອສ້າງໂດຍຄ່າເລີ່ມຕົ້ນ, ຮູບແບບການລວບລວມ "--enable-default-pie" ແລະ "--enable-default-ssp" ຖືກໃຊ້ເພື່ອເປີດໃຊ້ການສຸ່ມພື້ນທີ່ທີ່ຢູ່ຂອງໄຟລ໌ທີ່ສາມາດປະຕິບັດໄດ້ (ພາບລວມ) ແລະການປ້ອງກັນ overflow stack ໂດຍຜ່ານການທົດແທນ canary.
ສຳລັບແພັກເກດທີ່ຂຽນໃນ C/C++, ມີທຸງເພີ່ມເຕີມ
"-Wall", "-Werror=format-security", "-Wp,-D_FORTIFY_SOURCE=2", "-Wp,-D_GLIBCXX_ASSERTIONS" ແລະ "-fstack-clash-protection".

ເຄື່ອງ​ມື orchestration ພາ​ຊະ​ນະ​ແມ່ນ​ສະ​ຫນອງ​ໃຫ້​ແຍກ​ຕ່າງ​ຫາກ​ ຄວບຄຸມຖັງ, ເຊິ່ງຖືກເປີດໃຊ້ໂດຍຄ່າເລີ່ມຕົ້ນແລະຄວບຄຸມໂດຍຜ່ານ API ແລະຕົວແທນ AWS SSM. ຮູບພາບພື້ນຖານຂາດແກະຄໍາສັ່ງ, ເຊີຟເວີ SSH ແລະພາສາທີ່ແປ (ຕົວຢ່າງ, ບໍ່ມີ Python ຫຼື Perl) - ເຄື່ອງມືບໍລິຫານແລະເຄື່ອງມືດີບັກແມ່ນຕັ້ງຢູ່ໃນ ຕູ້ບໍລິການແຍກຕ່າງຫາກ, ເຊິ່ງຖືກປິດໃຊ້ງານໂດຍຄ່າເລີ່ມຕົ້ນ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru