Amazon ໄດ້ປ່ອຍ Bottlerocket 1.0.0, Linux- ການແຈກຢາຍໂດຍອີງໃສ່ພາຊະນະທີ່ໂດດດ່ຽວ

ບໍລິສັດ Amazon ນຳ ສະ ເໜີ ບັນຫາສຳຄັນອັນທຳອິດຂອງວິຊາສະເພາະ Linux- ການແຈກຢາຍ ຂວດນ້ອຍ 1.0.0, ອອກແບບມາເພື່ອແລ່ນພາຊະນະທີ່ໂດດດ່ຽວຢ່າງມີປະສິດທິພາບ ແລະ ປອດໄພ. ເຄື່ອງມືການແຈກຢາຍແລະອົງປະກອບການຄວບຄຸມແມ່ນຂຽນໃນ Rust ແລະ ແຜ່​ກະ​ຈາຍ​ເຊື້ອ ພາຍໃຕ້ໃບອະນຸຍາດ MIT ແລະ Apache 2.0. ໂຄງການດັ່ງກ່າວກໍາລັງຖືກພັດທະນາຢູ່ໃນ GitHub ແລະສາມາດໃຊ້ໄດ້ສໍາລັບການມີສ່ວນຮ່ວມໂດຍສະມາຊິກຊຸມຊົນ. ຮູບພາບການນຳໃຊ້ລະບົບແມ່ນສ້າງຂຶ້ນສຳລັບສະຖາປັດຕະຍະກຳ x86_64 ແລະ Aarch64. OS ໄດ້ຖືກດັດແປງໃຫ້ແລ່ນຢູ່ໃນກຸ່ມ Amazon ECS ແລະ AWS EKS Kubernetes. ແມ່ນສະຫນອງໃຫ້ ເຄື່ອງ​ມື​ສໍາ​ລັບ​ການ​ສ້າງ​ກອງ​ປະ​ຊຸມ​ແລະ​ສະ​ບັບ​ຂອງ​ຕົນ​ເອງ​, ທີ່​ສາ​ມາດ​ນໍາ​ໃຊ້​ເຄື່ອງ​ມື orchestration ອື່ນໆ​, kernels ແລະ runtime ສໍາ​ລັບ​ພາ​ຊະ​ນະ​.

ການແຈກຢາຍໃຫ້ kernel Linux ແລະສະພາບແວດລ້ອມຂອງລະບົບໜ້ອຍທີ່ສຸດ, ລວມທັງພຽງແຕ່ອົງປະກອບທີ່ຈຳເປັນສຳລັບການໃຊ້ງານຕູ້ຄອນເທນເນີ. ແພັກເກດທີ່ໃຊ້ໃນໂຄງການປະກອບມີຕົວຈັດການລະບົບ systemd, ຫ້ອງສະໝຸດ Glibc, ແລະເຄື່ອງມືສ້າງ.
Buildroot, GRUB bootloader, ການຕັ້ງຄ່າເຄືອຂ່າຍ ຄົນຊົ່ວຮ້າຍ, runtime ສໍາລັບການບັນຈຸທີ່ໂດດດ່ຽວ ພາຊະນະ, Kubernetes container orchestration platform, aws-iam-authenticator, ແລະ Amazon ECS agent.

ການແຜ່ກະຈາຍໄດ້ຖືກປັບປຸງແບບປະລໍາມະນູແລະຖືກຈັດສົ່ງໃນຮູບແບບຂອງຮູບພາບລະບົບທີ່ບໍ່ສາມາດແຍກໄດ້. ສອງການແບ່ງປັນແຜ່ນຖືກຈັດສັນສໍາລັບລະບົບ, ຫນຶ່ງໃນນັ້ນປະກອບດ້ວຍລະບົບທີ່ມີການເຄື່ອນໄຫວ, ແລະການປັບປຸງຈະຖືກຄັດລອກໃສ່ທີສອງ. ຫຼັງຈາກການປັບປຸງໄດ້ຖືກປະຕິບັດ, ການແບ່ງປັນທີສອງກາຍເປັນການເຄື່ອນໄຫວ, ແລະໃນຄັ້ງທໍາອິດ, ຈົນກ່ວາການປັບປຸງຕໍ່ໄປມາຮອດ, ຮຸ່ນກ່ອນຫນ້າຂອງລະບົບຈະຖືກບັນທຶກໄວ້, ເຊິ່ງທ່ານສາມາດກັບຄືນໄດ້ຖ້າບັນຫາເກີດຂື້ນ. ການປັບປຸງໄດ້ຖືກຕິດຕັ້ງໂດຍອັດຕະໂນມັດໂດຍບໍ່ມີການແຊກແຊງຂອງຜູ້ເບິ່ງແຍງ.

ຄວາມແຕກຕ່າງທີ່ສຳຄັນຈາກການແຈກຢາຍທີ່ຄ້າຍຄືກັນເຊັ່ນ Fedora CoreOS ແມ່ນ CentOS/Red Hat Atomic Host ສຸມໃສ່ການໃຫ້ບໍລິການເປັນຫຼັກ ຄວາມ​ປອດ​ໄພ​ສູງ​ສຸດ​ ໃນສະພາບການຂອງການເສີມສ້າງການປົກປ້ອງລະບົບຈາກໄພຂົ່ມຂູ່ທີ່ອາດເກີດຂຶ້ນ, ການເຮັດໃຫ້ການຂູດຮີດຊ່ອງໂຫວ່ໃນອົງປະກອບຂອງລະບົບປະຕິບັດການສັບສົນຂຶ້ນ, ແລະ ການເພີ່ມການແຍກຕູ້ຄອນເທນເນີ. ຕູ້ຄອນເທນເນີຖືກສ້າງຂຶ້ນໂດຍໃຊ້ກົນໄກເຄີເນລມາດຕະຖານ. Linux — cgroups, namespaces, ແລະ seccomp. ສຳລັບການແຍກເພີ່ມເຕີມ, ການແຈກຢາຍໃຊ້ SELinux ໃນໂໝດ "ການບັງຄັບໃຊ້", ແລະໂມດູນຖືກໃຊ້ສຳລັບການກວດສອບຄວາມສົມບູນຂອງການແບ່ງປັນຮາກ dm-verity. ຖ້າຄວາມພະຍາຍາມທີ່ຈະແກ້ໄຂຂໍ້ມູນໃນລະດັບອຸປະກອນຕັນໄດ້ຖືກກວດພົບ, ລະບົບຈະປິດເປີດໃຫມ່.

ການແບ່ງປັນຮາກແມ່ນຕິດຢູ່ແບບອ່ານເທົ່ານັ້ນ, ແລະພາທິຊັນການຕັ້ງຄ່າ /etc ຖືກຕິດຕັ້ງຢູ່ໃນ tmpfs ແລະຟື້ນຟູຄືນສູ່ສະພາບເດີມຫຼັງຈາກປິດເປີດໃໝ່. ການດັດແກ້ໂດຍກົງຂອງໄຟລ໌ໃນໄດເລກະທໍລີ /etc, ເຊັ່ນ /etc/resolv.conf ແລະ /etc/containerd/config.toml, ບໍ່ໄດ້ຮັບການສະຫນັບສະຫນູນ - ເພື່ອບັນທຶກການຕັ້ງຄ່າຖາວອນ, ທ່ານຕ້ອງໃຊ້ API ຫຼືຍ້າຍຫນ້າທີ່ເຂົ້າໄປໃນຖັງແຍກຕ່າງຫາກ.

ອົງປະກອບຂອງລະບົບສ່ວນໃຫຍ່ຖືກຂຽນໄວ້ໃນ Rust, ເຊິ່ງໃຫ້ຄຸນສົມບັດທີ່ປອດໄພໃນໜ່ວຍຄວາມຈຳເພື່ອຫຼີກລ່ຽງຊ່ອງໂຫວ່ທີ່ເກີດຈາກການເຂົ້າເຖິງໜ່ວຍຄວາມຈຳພາຍຫຼັງທີ່ບໍ່ມີການເຂົ້າໃຊ້, ການອ້າງອີງຕົວຊີ້ null, ແລະ buffer overruns. ເມື່ອສ້າງໂດຍຄ່າເລີ່ມຕົ້ນ, ຮູບແບບການລວບລວມ "--enable-default-pie" ແລະ "--enable-default-ssp" ຖືກໃຊ້ເພື່ອເປີດໃຊ້ການສຸ່ມພື້ນທີ່ທີ່ຢູ່ຂອງໄຟລ໌ທີ່ສາມາດປະຕິບັດໄດ້ (ພາບລວມ) ແລະການປ້ອງກັນ overflow stack ໂດຍຜ່ານການທົດແທນ canary.
ສຳລັບແພັກເກດທີ່ຂຽນໃນ C/C++, ມີທຸງເພີ່ມເຕີມ
"-Wall", "-Werror=format-security", "-Wp,-D_FORTIFY_SOURCE=2", "-Wp,-D_GLIBCXX_ASSERTIONS" ແລະ "-fstack-clash-protection".

ເຄື່ອງ​ມື orchestration ພາ​ຊະ​ນະ​ແມ່ນ​ສະ​ຫນອງ​ໃຫ້​ແຍກ​ຕ່າງ​ຫາກ​ ຄວບຄຸມຖັງ, ເຊິ່ງຖືກເປີດໃຊ້ໂດຍຄ່າເລີ່ມຕົ້ນແລະຄວບຄຸມໂດຍຜ່ານ API ແລະຕົວແທນ AWS SSM. ຮູບພາບພື້ນຖານຂາດແກະຄໍາສັ່ງ, ເຊີຟເວີ SSH ແລະພາສາທີ່ແປ (ຕົວຢ່າງ, ບໍ່ມີ Python ຫຼື Perl) - ເຄື່ອງມືບໍລິຫານແລະເຄື່ອງມືດີບັກແມ່ນຕັ້ງຢູ່ໃນ ຕູ້ບໍລິການແຍກຕ່າງຫາກ, ເຊິ່ງຖືກປິດໃຊ້ງານໂດຍຄ່າເລີ່ມຕົ້ນ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru