ການປ່ອຍ Bottlerocket 1.2, ການແຈກຢາຍໂດຍອີງໃສ່ຖັງທີ່ແຍກອອກ

ການປ່ອຍ Linux Distribution Bottlerocket 1.2.0 ແມ່ນມີຢູ່, ພັດທະນາດ້ວຍການມີສ່ວນຮ່ວມຂອງ Amazon ສໍາລັບການເປີດຕົວທີ່ມີປະສິດທິພາບແລະປອດໄພຂອງຖັງທີ່ໂດດດ່ຽວ. ເຄື່ອງມືແລະອົງປະກອບຄວບຄຸມຂອງການແຈກຢາຍແມ່ນຂຽນເປັນ Rust ແລະແຈກຢາຍພາຍໃຕ້ໃບອະນຸຍາດ MIT ແລະ Apache 2.0. ມັນສະຫນັບສະຫນູນການແລ່ນ Bottlerocket ໃນກຸ່ມ Amazon ECS, VMware ແລະ AWS EKS Kubernetes, ເຊັ່ນດຽວກັນກັບການສ້າງການສ້າງແບບກໍານົດເອງແລະສະບັບທີ່ອະນຸຍາດໃຫ້ນໍາໃຊ້ເຄື່ອງມື orchestration ແລະ runtime ຕ່າງໆສໍາລັບ containers.

ການແຈກຢາຍໃຫ້ຮູບພາບຂອງລະບົບ indivisible ທີ່ມີການປັບປຸງແບບອະຕອມແລະອັດຕະໂນມັດເຊິ່ງປະກອບມີ Linux kernel ແລະສະພາບແວດລ້ອມຂອງລະບົບຫນ້ອຍທີ່ປະກອບມີພຽງແຕ່ອົງປະກອບທີ່ຈໍາເປັນເພື່ອດໍາເນີນການບັນຈຸ. ສະພາບແວດລ້ອມລວມມີຕົວຈັດການລະບົບ systemd, ຫ້ອງສະໝຸດ Glibc, ເຄື່ອງມືສ້າງ Buildroot, bootloader GRUB, ຕົວຕັ້ງເຄືອຂ່າຍທີ່ຊົ່ວຮ້າຍ, ຊ່ວງເວລາບັນຈຸ container ທີ່ໂດດດ່ຽວ, ແພລດຟອມ orchestration container Kubernetes, aws-iam-authenticator, ແລະຕົວແທນ Amazon ECS .

ເຄື່ອງມື orchestration ຕູ້ຄອນເທນເນີມາຢູ່ໃນຖັງການຈັດການແຍກຕ່າງຫາກທີ່ຖືກເປີດໃຊ້ໂດຍຄ່າເລີ່ມຕົ້ນແລະຈັດການຜ່ານ API ແລະ AWS SSM Agent. ຮູບພາບພື້ນຖານຂາດແກະຄໍາສັ່ງ, ເຊີຟເວີ SSH, ແລະພາສາທີ່ຖືກຕີຄວາມ (ຕົວຢ່າງ, ບໍ່ມີ Python ຫຼື Perl) - ເຄື່ອງມືການບໍລິຫານແລະການດີບັກຖືກຍ້າຍໄປບ່ອນເກັບບໍລິການແຍກຕ່າງຫາກ, ເຊິ່ງຖືກປິດໃຊ້ງານໂດຍຄ່າເລີ່ມຕົ້ນ.

ຄວາມແຕກຕ່າງທີ່ ສຳ ຄັນຈາກການແຈກຢາຍທີ່ຄ້າຍຄືກັນເຊັ່ນ Fedora CoreOS, CentOS / Red Hat Atomic Host ແມ່ນຈຸດສຸມຕົ້ນຕໍໃນການໃຫ້ຄວາມປອດໄພສູງສຸດໃນແງ່ຂອງການເສີມສ້າງລະບົບປ້ອງກັນໄພຂົ່ມຂູ່ທີ່ເປັນໄປໄດ້, ສັບສົນການຂູດຮີດຂອງຊ່ອງໂຫວ່ໃນອົງປະກອບ OS ແລະເພີ່ມການແຍກຕົວບັນຈຸ. Containers ຖືກສ້າງຂື້ນໂດຍໃຊ້ກົນໄກປົກກະຕິຂອງ Linux kernel - cgroups, namespaces ແລະ seccomp. ສໍາລັບການໂດດດ່ຽວເພີ່ມເຕີມ, ການແຈກຢາຍໃຊ້ SELinux ໃນໂຫມດ "ບັງຄັບ".

ການແບ່ງສ່ວນຮາກແມ່ນຕິດຢູ່ໃນໂໝດອ່ານເທົ່ານັ້ນ, ແລະພາທິຊັນທີ່ມີການຕັ້ງຄ່າ /etc ຖືກຕິດຕັ້ງຢູ່ໃນ tmpfs ແລະຟື້ນຟູຄືນສູ່ສະພາບເດີມຫຼັງຈາກປິດເປີດໃໝ່. ການດັດແກ້ໂດຍກົງຂອງໄຟລ໌ໃນໄດເລກະທໍລີ /etc, ເຊັ່ນ /etc/resolv.conf ແລະ /etc/containerd/config.toml, ແມ່ນບໍ່ສະຫນັບສະຫນູນ - ເພື່ອບັນທຶກການຕັ້ງຄ່າຖາວອນ, ທ່ານຄວນໃຊ້ API ຫຼືຍ້າຍການເຮັດວຽກໄປຫາກ່ອງບັນຈຸແຍກຕ່າງຫາກ. ສໍາລັບການກວດສອບການເຂົ້າລະຫັດລັບຂອງຄວາມສົມບູນຂອງການແບ່ງປັນຮາກ, ໂມດູນ dm-verity ຖືກນໍາໃຊ້, ແລະຖ້າຄວາມພະຍາຍາມທີ່ຈະດັດແປງຂໍ້ມູນໃນລະດັບອຸປະກອນຕັນໄດ້ຖືກກວດພົບ, ລະບົບຈະປິດເຄື່ອງໃຫມ່.

ອົງປະກອບຂອງລະບົບສ່ວນໃຫຍ່ຖືກຂຽນໄວ້ໃນ Rust, ເຊິ່ງສະຫນອງເຄື່ອງມືທີ່ປອດໄພໃນຫນ່ວຍຄວາມຈໍາເພື່ອຫຼີກເວັ້ນຄວາມອ່ອນແອທີ່ເກີດຈາກການແກ້ໄຂພື້ນທີ່ຫນ່ວຍຄວາມຈໍາຫຼັງຈາກທີ່ມັນຖືກປົດປ່ອຍ, ການປະຕິເສດຕົວຊີ້ null, ແລະ buffer overruns. ເມື່ອສ້າງ, ຮູບແບບການລວບລວມ "--enable-default-pie" ແລະ "--enable-default-ssp" ຖືກໃຊ້ໂດຍຄ່າເລີ່ມຕົ້ນເພື່ອເປີດໃຊ້ການສຸ່ມພື້ນທີ່ທີ່ຢູ່ຂອງໄຟລ໌ທີ່ສາມາດປະຕິບັດໄດ້ (PIE) ແລະການປ້ອງກັນການ overflows stack ໂດຍຜ່ານການທົດແທນປ້າຍ canary. ສຳລັບແພັກເກັດທີ່ຂຽນໄວ້ໃນ C/C++, ທຸງ "-Wall", "-Werror=format-security", "-Wp,-D_FORTIFY_SOURCE=2", "-Wp,-D_GLIBCXX_ASSERTIONS" ແລະ "-fstack-clash" ຍັງມີອີກ. ລວມ​ທັງ​ການ​ປົກ​ປັກ​ຮັກ​ສາ​.

ໃນການປ່ອຍໃຫມ່:

• ເພີ່ມການສະຫນັບສະຫນູນສໍາລັບກະຈົກການລົງທະບຽນຮູບພາບບັນຈຸ.
• ເພີ່ມຄວາມສາມາດໃນການນໍາໃຊ້ໃບຢັ້ງຢືນການເຊັນດ້ວຍຕົນເອງ.
• ເພີ່ມທາງເລືອກໃນການກໍາຫນົດຄ່າ hostname.
• ສະບັບເລີ່ມຕົ້ນຂອງກ່ອງບັນຈຸການບໍລິຫານໄດ້ຖືກປັບປຸງແລ້ວ.
• ເພີ່ມການຕັ້ງຄ່າ topologyManagerPolicy ແລະ topologyManagerScope ສໍາລັບ kubelet.
• ເພີ່ມການສະຫນັບສະຫນູນສໍາລັບການບີບອັດແກ່ນໂດຍໃຊ້ສູດການຄິດໄລ່ zstd.
• ຄວາມສາມາດໃນການໂຫຼດເຄື່ອງ virtual ເຂົ້າໄປໃນ VMware ໃນຮູບແບບ OVA (Open Virtualization Format) ແມ່ນສະຫນອງໃຫ້.
• ເວີຊັ່ນການແຈກຢາຍ Aws-k8s-1.21 ໄດ້ຮັບການອັບເດດດ້ວຍການຮອງຮັບ Kubernetes 1.21. ຢຸດການຮອງຮັບ aws-k8s-1.16 ແລ້ວ.
• ອັບເດດແພັກເກດ ແລະການຂຶ້ນກັບພາສາ Rust.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru