ການປ່ອຍ Bottlerocket 1.1, ການແຈກຢາຍໂດຍອີງໃສ່ຖັງທີ່ແຍກອອກ

Доступен выпуск Linux-дистрибутива Bottlerocket 1.1.0, развиваемого при участии компании Amazon для эффективного и безопасного запуска изолированных контейнеров. Инструментарий и управляющие компоненты дистрибутива написаны на языке Rust и распространяются под лицензиями MIT и Apache 2.0. Поддерживается запуск Bottlerocket в кластерах Amazon ECS и AWS EKS Kubernetes, а также создание произвольных сборок и редакций, допускающих применение различных инструментов оркестровки и runtime для контейнеров.

ການແຈກຢາຍໃຫ້ຮູບພາບຂອງລະບົບ indivisible ທີ່ມີການປັບປຸງແບບອະຕອມແລະອັດຕະໂນມັດເຊິ່ງປະກອບມີ Linux kernel ແລະສະພາບແວດລ້ອມຂອງລະບົບຫນ້ອຍທີ່ປະກອບມີພຽງແຕ່ອົງປະກອບທີ່ຈໍາເປັນເພື່ອດໍາເນີນການບັນຈຸ. ສະພາບແວດລ້ອມລວມມີຕົວຈັດການລະບົບ systemd, ຫ້ອງສະໝຸດ Glibc, ເຄື່ອງມືສ້າງ Buildroot, bootloader GRUB, ຕົວຕັ້ງເຄືອຂ່າຍທີ່ຊົ່ວຮ້າຍ, ຊ່ວງເວລາບັນຈຸ container ທີ່ໂດດດ່ຽວ, ແພລດຟອມ orchestration container Kubernetes, aws-iam-authenticator, ແລະຕົວແທນ Amazon ECS .

ເຄື່ອງມື orchestration ຕູ້ຄອນເທນເນີມາຢູ່ໃນຖັງການຈັດການແຍກຕ່າງຫາກທີ່ຖືກເປີດໃຊ້ໂດຍຄ່າເລີ່ມຕົ້ນແລະຈັດການຜ່ານ API ແລະ AWS SSM Agent. ຮູບພາບພື້ນຖານຂາດແກະຄໍາສັ່ງ, ເຊີຟເວີ SSH, ແລະພາສາທີ່ຖືກຕີຄວາມ (ຕົວຢ່າງ, ບໍ່ມີ Python ຫຼື Perl) - ເຄື່ອງມືການບໍລິຫານແລະການດີບັກຖືກຍ້າຍໄປບ່ອນເກັບບໍລິການແຍກຕ່າງຫາກ, ເຊິ່ງຖືກປິດໃຊ້ງານໂດຍຄ່າເລີ່ມຕົ້ນ.

ຄວາມແຕກຕ່າງທີ່ ສຳ ຄັນຈາກການແຈກຢາຍທີ່ຄ້າຍຄືກັນເຊັ່ນ Fedora CoreOS, CentOS / Red Hat Atomic Host ແມ່ນຈຸດສຸມຕົ້ນຕໍໃນການໃຫ້ຄວາມປອດໄພສູງສຸດໃນແງ່ຂອງການເສີມສ້າງລະບົບປ້ອງກັນໄພຂົ່ມຂູ່ທີ່ເປັນໄປໄດ້, ສັບສົນການຂູດຮີດຂອງຊ່ອງໂຫວ່ໃນອົງປະກອບ OS ແລະເພີ່ມການແຍກຕົວບັນຈຸ. Containers ຖືກສ້າງຂື້ນໂດຍໃຊ້ກົນໄກປົກກະຕິຂອງ Linux kernel - cgroups, namespaces ແລະ seccomp. ສໍາລັບການໂດດດ່ຽວເພີ່ມເຕີມ, ການແຈກຢາຍໃຊ້ SELinux ໃນໂຫມດ "ບັງຄັບ".

ການແບ່ງສ່ວນຮາກແມ່ນຕິດຢູ່ໃນໂໝດອ່ານເທົ່ານັ້ນ, ແລະພາທິຊັນທີ່ມີການຕັ້ງຄ່າ /etc ຖືກຕິດຕັ້ງຢູ່ໃນ tmpfs ແລະຟື້ນຟູຄືນສູ່ສະພາບເດີມຫຼັງຈາກປິດເປີດໃໝ່. ການດັດແກ້ໂດຍກົງຂອງໄຟລ໌ໃນໄດເລກະທໍລີ /etc, ເຊັ່ນ /etc/resolv.conf ແລະ /etc/containerd/config.toml, ແມ່ນບໍ່ສະຫນັບສະຫນູນ - ເພື່ອບັນທຶກການຕັ້ງຄ່າຖາວອນ, ທ່ານຄວນໃຊ້ API ຫຼືຍ້າຍການເຮັດວຽກໄປຫາກ່ອງບັນຈຸແຍກຕ່າງຫາກ. ສໍາລັບການກວດສອບການເຂົ້າລະຫັດລັບຂອງຄວາມສົມບູນຂອງການແບ່ງປັນຮາກ, ໂມດູນ dm-verity ຖືກນໍາໃຊ້, ແລະຖ້າຄວາມພະຍາຍາມທີ່ຈະດັດແປງຂໍ້ມູນໃນລະດັບອຸປະກອນຕັນໄດ້ຖືກກວດພົບ, ລະບົບຈະປິດເຄື່ອງໃຫມ່.

ອົງປະກອບຂອງລະບົບສ່ວນໃຫຍ່ຖືກຂຽນໄວ້ໃນ Rust, ເຊິ່ງສະຫນອງເຄື່ອງມືທີ່ປອດໄພໃນຫນ່ວຍຄວາມຈໍາເພື່ອຫຼີກເວັ້ນຄວາມອ່ອນແອທີ່ເກີດຈາກການແກ້ໄຂພື້ນທີ່ຫນ່ວຍຄວາມຈໍາຫຼັງຈາກທີ່ມັນຖືກປົດປ່ອຍ, ການປະຕິເສດຕົວຊີ້ null, ແລະ buffer overruns. ເມື່ອສ້າງ, ຮູບແບບການລວບລວມ "--enable-default-pie" ແລະ "--enable-default-ssp" ຖືກໃຊ້ໂດຍຄ່າເລີ່ມຕົ້ນເພື່ອເປີດໃຊ້ການສຸ່ມພື້ນທີ່ທີ່ຢູ່ຂອງໄຟລ໌ທີ່ສາມາດປະຕິບັດໄດ້ (PIE) ແລະການປ້ອງກັນການ overflows stack ໂດຍຜ່ານການທົດແທນປ້າຍ canary. ສຳລັບແພັກເກັດທີ່ຂຽນໄວ້ໃນ C/C++, ທຸງ "-Wall", "-Werror=format-security", "-Wp,-D_FORTIFY_SOURCE=2", "-Wp,-D_GLIBCXX_ASSERTIONS" ແລະ "-fstack-clash" ຍັງມີອີກ. ລວມ​ທັງ​ການ​ປົກ​ປັກ​ຮັກ​ສາ​.

ໃນການປ່ອຍໃຫມ່:

• Предложено два новых варианта дистрибутива aws-k8s-1.20 и vmware-k8s-1.20 c поддержкой Kubernetes 1.20. В данных вариантах, а также в обновлённом варианте aws-ecs-1, задействован новый выпуск ядра Linux 5.10. Режим lockdown по умолчанию переведён в значение «integrity» (блокируются возможности, позволяющие вносить изменения в работающее ядро из пространства пользователя). Прекращена поддержка варианта aws-k8s-1.15 на базе Kubernetes 1.15.
• Для Amazon ECS реализована поддержка сетевого режима awsvpc, позволяющего выделять отдельные сетевых интерфейсы и внутренние IP-адреса для каждой задачи.
• Добавлены настройки для управления различными параметрами Kubernetes, включая QPS, лимиты на пулы и возможность подключения к облачным провайдерам, отличным от AWS.
• В bootstrap-контейнере обеспечено ограничение доступа к данным пользователя при помощи SELinux.
• Добавлена утилита resize2fs.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru