Bottlerocket 1.8 ແມ່ນມີຢູ່, ການແຈກຢາຍໂດຍອີງໃສ່ບັນຈຸທີ່ໂດດດ່ຽວ

ການປ່ອຍການແຈກຢາຍ Bottlerocket 1.8.0 Linux ໄດ້ຖືກຈັດພີມມາ, ພັດທະນາດ້ວຍການເຂົ້າຮ່ວມຂອງ Amazon ເພື່ອດໍາເນີນການບັນຈຸທີ່ໂດດດ່ຽວຢ່າງມີປະສິດທິພາບແລະປອດໄພ. ຊຸດເຄື່ອງມືແລະອົງປະກອບຄວບຄຸມຂອງການແຈກຢາຍແມ່ນຂຽນເປັນ Rust ແລະແຈກຢາຍພາຍໃຕ້ໃບອະນຸຍາດ MIT ແລະ Apache 2.0. ມັນສະຫນັບສະຫນູນການແລ່ນ Bottlerocket ໃນກຸ່ມ Amazon ECS, VMware, ແລະ AWS EKS Kubernetes, ເຊັ່ນດຽວກັນກັບການສ້າງການສ້າງແບບກໍານົດເອງແລະສະບັບທີ່ອະນຸຍາດໃຫ້ມີເຄື່ອງມື orchestration ແລະ runtime ທີ່ແຕກຕ່າງກັນສໍາລັບ containers.

ການແຈກຢາຍໃຫ້ຮູບພາບຂອງລະບົບ indivisible ທີ່ມີການປັບປຸງແບບອະຕອມແລະອັດຕະໂນມັດເຊິ່ງປະກອບມີ Linux kernel ແລະສະພາບແວດລ້ອມຂອງລະບົບຫນ້ອຍທີ່ປະກອບມີພຽງແຕ່ອົງປະກອບທີ່ຈໍາເປັນເພື່ອດໍາເນີນການບັນຈຸ. ສະພາບແວດລ້ອມລວມມີຕົວຈັດການລະບົບ systemd, ຫ້ອງສະໝຸດ Glibc, ເຄື່ອງມືສ້າງ Buildroot, bootloader GRUB, ຕົວຕັ້ງເຄືອຂ່າຍທີ່ຊົ່ວຮ້າຍ, ຊ່ວງເວລາບັນຈຸ container ທີ່ໂດດດ່ຽວ, ແພລດຟອມ orchestration container Kubernetes, aws-iam-authenticator, ແລະຕົວແທນ Amazon ECS .

ເຄື່ອງມື orchestration ຕູ້ຄອນເທນເນີມາຢູ່ໃນຖັງການຈັດການແຍກຕ່າງຫາກທີ່ຖືກເປີດໃຊ້ໂດຍຄ່າເລີ່ມຕົ້ນແລະຈັດການຜ່ານ API ແລະ AWS SSM Agent. ຮູບພາບພື້ນຖານຂາດແກະຄໍາສັ່ງ, ເຊີຟເວີ SSH, ແລະພາສາທີ່ຖືກຕີຄວາມ (ຕົວຢ່າງ, ບໍ່ມີ Python ຫຼື Perl) - ເຄື່ອງມືການບໍລິຫານແລະການດີບັກຖືກຍ້າຍໄປບ່ອນເກັບບໍລິການແຍກຕ່າງຫາກ, ເຊິ່ງຖືກປິດໃຊ້ງານໂດຍຄ່າເລີ່ມຕົ້ນ.

ຄວາມແຕກຕ່າງທີ່ ສຳ ຄັນຈາກການແຈກຢາຍທີ່ຄ້າຍຄືກັນເຊັ່ນ Fedora CoreOS, CentOS / Red Hat Atomic Host ແມ່ນຈຸດສຸມຕົ້ນຕໍໃນການໃຫ້ຄວາມປອດໄພສູງສຸດໃນແງ່ຂອງການເສີມສ້າງລະບົບປ້ອງກັນໄພຂົ່ມຂູ່ທີ່ເປັນໄປໄດ້, ສັບສົນການຂູດຮີດຂອງຊ່ອງໂຫວ່ໃນອົງປະກອບ OS ແລະເພີ່ມການແຍກຕົວບັນຈຸ. Containers ຖືກສ້າງຂື້ນໂດຍໃຊ້ກົນໄກປົກກະຕິຂອງ Linux kernel - cgroups, namespaces ແລະ seccomp. ສໍາລັບການໂດດດ່ຽວເພີ່ມເຕີມ, ການແຈກຢາຍໃຊ້ SELinux ໃນໂຫມດ "ບັງຄັບ".

ການແບ່ງສ່ວນຮາກແມ່ນຕິດຢູ່ໃນໂໝດອ່ານເທົ່ານັ້ນ, ແລະພາທິຊັນທີ່ມີການຕັ້ງຄ່າ /etc ຖືກຕິດຕັ້ງຢູ່ໃນ tmpfs ແລະຟື້ນຟູຄືນສູ່ສະພາບເດີມຫຼັງຈາກປິດເປີດໃໝ່. ການດັດແກ້ໂດຍກົງຂອງໄຟລ໌ໃນໄດເລກະທໍລີ /etc, ເຊັ່ນ /etc/resolv.conf ແລະ /etc/containerd/config.toml, ແມ່ນບໍ່ສະຫນັບສະຫນູນ - ເພື່ອບັນທຶກການຕັ້ງຄ່າຖາວອນ, ທ່ານຄວນໃຊ້ API ຫຼືຍ້າຍການເຮັດວຽກໄປຫາກ່ອງບັນຈຸແຍກຕ່າງຫາກ. ສໍາລັບການກວດສອບການເຂົ້າລະຫັດລັບຂອງຄວາມສົມບູນຂອງການແບ່ງປັນຮາກ, ໂມດູນ dm-verity ຖືກນໍາໃຊ້, ແລະຖ້າຄວາມພະຍາຍາມທີ່ຈະດັດແປງຂໍ້ມູນໃນລະດັບອຸປະກອນຕັນໄດ້ຖືກກວດພົບ, ລະບົບຈະປິດເຄື່ອງໃຫມ່.

ອົງປະກອບຂອງລະບົບສ່ວນໃຫຍ່ຖືກຂຽນໄວ້ໃນ Rust, ເຊິ່ງສະຫນອງເຄື່ອງມືທີ່ປອດໄພໃນຫນ່ວຍຄວາມຈໍາເພື່ອຫຼີກເວັ້ນຄວາມອ່ອນແອທີ່ເກີດຈາກການແກ້ໄຂພື້ນທີ່ຫນ່ວຍຄວາມຈໍາຫຼັງຈາກທີ່ມັນຖືກປົດປ່ອຍ, ການປະຕິເສດຕົວຊີ້ null, ແລະ buffer overruns. ເມື່ອສ້າງ, ຮູບແບບການລວບລວມ "--enable-default-pie" ແລະ "--enable-default-ssp" ຖືກໃຊ້ໂດຍຄ່າເລີ່ມຕົ້ນເພື່ອເປີດໃຊ້ການສຸ່ມພື້ນທີ່ທີ່ຢູ່ຂອງໄຟລ໌ທີ່ສາມາດປະຕິບັດໄດ້ (PIE) ແລະການປ້ອງກັນການ overflows stack ໂດຍຜ່ານການທົດແທນປ້າຍ canary. ສຳລັບແພັກເກັດທີ່ຂຽນໄວ້ໃນ C/C++, ທຸງ "-Wall", "-Werror=format-security", "-Wp,-D_FORTIFY_SOURCE=2", "-Wp,-D_GLIBCXX_ASSERTIONS" ແລະ "-fstack-clash" ຍັງມີອີກ. ລວມ​ທັງ​ການ​ປົກ​ປັກ​ຮັກ​ສາ​.

ໃນການປ່ອຍໃຫມ່:

• Обновлено содержимое административного и управляющего контейнеров.
• Runtime для изолированных контейнеров обновлён до ветки containerd 1.6.x.
• Обеспечен перезапуск фоновых процессов, координирующих работу контейнеров, после изменений в хранилище сертификатов.
• Предоставлена возможность выставления загрузочных параметров ядра через секцию Boot Configuration.
• Включено игнорирование пустых блоков при контроле целостности корневого раздела при помощи dm-verity.
• Предоставлена возможность статической привязки имён хостов в /etc/hosts.
• Предоставлена возможность генерации сетевой конфигурации при помощи утилиты netdog (добавлена команда generate-net-config).
• Предложены новые варианты дистрибутива c поддержкой Kubernetes 1.23. Сокращено время запуска pod-ов в Kubernetes за счёт отключения режима configMapAndSecretChangeDetectionStrategy. Добавлены новые настройки kubelet-ов: provider-id и podPidsLimit.
• Предложен новый вариант дистрибутива «aws-ecs-1-nvidia» для Amazon Elastic Container Service (Amazon ECS), поставляемый с драйверами NVIDIA.
• Добавлена поддержка устройств хранения Microchip Smart Storage и MegaRAID SAS. Расширена поддержка Ethernet-карт на чипах Broadcom.
• Обновлены версии пакетов и зависимости для языков Go и Rust, а также версии пакетов со сторонними программами. Bottlerocket SDK обновлён до версии 0.26.0.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru