ການປ່ອຍ Bottlerocket 1.7, ການແຈກຢາຍໂດຍອີງໃສ່ຖັງທີ່ແຍກອອກ

ການປ່ອຍການແຈກຢາຍ Bottlerocket 1.7.0 Linux ໄດ້ຖືກຈັດພີມມາ, ພັດທະນາດ້ວຍການເຂົ້າຮ່ວມຂອງ Amazon ເພື່ອດໍາເນີນການບັນຈຸທີ່ໂດດດ່ຽວຢ່າງມີປະສິດທິພາບແລະປອດໄພ. ຊຸດເຄື່ອງມືແລະອົງປະກອບຄວບຄຸມຂອງການແຈກຢາຍແມ່ນຂຽນເປັນ Rust ແລະແຈກຢາຍພາຍໃຕ້ໃບອະນຸຍາດ MIT ແລະ Apache 2.0. ມັນສະຫນັບສະຫນູນການແລ່ນ Bottlerocket ໃນກຸ່ມ Amazon ECS, VMware, ແລະ AWS EKS Kubernetes, ເຊັ່ນດຽວກັນກັບການສ້າງການສ້າງແບບກໍານົດເອງແລະສະບັບທີ່ອະນຸຍາດໃຫ້ມີເຄື່ອງມື orchestration ແລະ runtime ທີ່ແຕກຕ່າງກັນສໍາລັບ containers.

ການແຈກຢາຍໃຫ້ຮູບພາບຂອງລະບົບ indivisible ທີ່ມີການປັບປຸງແບບອະຕອມແລະອັດຕະໂນມັດເຊິ່ງປະກອບມີ Linux kernel ແລະສະພາບແວດລ້ອມຂອງລະບົບຫນ້ອຍທີ່ປະກອບມີພຽງແຕ່ອົງປະກອບທີ່ຈໍາເປັນເພື່ອດໍາເນີນການບັນຈຸ. ສະພາບແວດລ້ອມລວມມີຕົວຈັດການລະບົບ systemd, ຫ້ອງສະໝຸດ Glibc, ເຄື່ອງມືສ້າງ Buildroot, bootloader GRUB, ຕົວຕັ້ງເຄືອຂ່າຍທີ່ຊົ່ວຮ້າຍ, ຊ່ວງເວລາບັນຈຸ container ທີ່ໂດດດ່ຽວ, ແພລດຟອມ orchestration container Kubernetes, aws-iam-authenticator, ແລະຕົວແທນ Amazon ECS .

ເຄື່ອງມື orchestration ຕູ້ຄອນເທນເນີມາຢູ່ໃນຖັງການຈັດການແຍກຕ່າງຫາກທີ່ຖືກເປີດໃຊ້ໂດຍຄ່າເລີ່ມຕົ້ນແລະຈັດການຜ່ານ API ແລະ AWS SSM Agent. ຮູບພາບພື້ນຖານຂາດແກະຄໍາສັ່ງ, ເຊີຟເວີ SSH, ແລະພາສາທີ່ຖືກຕີຄວາມ (ຕົວຢ່າງ, ບໍ່ມີ Python ຫຼື Perl) - ເຄື່ອງມືການບໍລິຫານແລະການດີບັກຖືກຍ້າຍໄປບ່ອນເກັບບໍລິການແຍກຕ່າງຫາກ, ເຊິ່ງຖືກປິດໃຊ້ງານໂດຍຄ່າເລີ່ມຕົ້ນ.

ຄວາມແຕກຕ່າງທີ່ ສຳ ຄັນຈາກການແຈກຢາຍທີ່ຄ້າຍຄືກັນເຊັ່ນ Fedora CoreOS, CentOS / Red Hat Atomic Host ແມ່ນຈຸດສຸມຕົ້ນຕໍໃນການໃຫ້ຄວາມປອດໄພສູງສຸດໃນແງ່ຂອງການເສີມສ້າງລະບົບປ້ອງກັນໄພຂົ່ມຂູ່ທີ່ເປັນໄປໄດ້, ສັບສົນການຂູດຮີດຂອງຊ່ອງໂຫວ່ໃນອົງປະກອບ OS ແລະເພີ່ມການແຍກຕົວບັນຈຸ. Containers ຖືກສ້າງຂື້ນໂດຍໃຊ້ກົນໄກປົກກະຕິຂອງ Linux kernel - cgroups, namespaces ແລະ seccomp. ສໍາລັບການໂດດດ່ຽວເພີ່ມເຕີມ, ການແຈກຢາຍໃຊ້ SELinux ໃນໂຫມດ "ບັງຄັບ".

ການແບ່ງສ່ວນຮາກແມ່ນຕິດຢູ່ໃນໂໝດອ່ານເທົ່ານັ້ນ, ແລະພາທິຊັນທີ່ມີການຕັ້ງຄ່າ /etc ຖືກຕິດຕັ້ງຢູ່ໃນ tmpfs ແລະຟື້ນຟູຄືນສູ່ສະພາບເດີມຫຼັງຈາກປິດເປີດໃໝ່. ການດັດແກ້ໂດຍກົງຂອງໄຟລ໌ໃນໄດເລກະທໍລີ /etc, ເຊັ່ນ /etc/resolv.conf ແລະ /etc/containerd/config.toml, ແມ່ນບໍ່ສະຫນັບສະຫນູນ - ເພື່ອບັນທຶກການຕັ້ງຄ່າຖາວອນ, ທ່ານຄວນໃຊ້ API ຫຼືຍ້າຍການເຮັດວຽກໄປຫາກ່ອງບັນຈຸແຍກຕ່າງຫາກ. ສໍາລັບການກວດສອບການເຂົ້າລະຫັດລັບຂອງຄວາມສົມບູນຂອງການແບ່ງປັນຮາກ, ໂມດູນ dm-verity ຖືກນໍາໃຊ້, ແລະຖ້າຄວາມພະຍາຍາມທີ່ຈະດັດແປງຂໍ້ມູນໃນລະດັບອຸປະກອນຕັນໄດ້ຖືກກວດພົບ, ລະບົບຈະປິດເຄື່ອງໃຫມ່.

ອົງປະກອບຂອງລະບົບສ່ວນໃຫຍ່ຖືກຂຽນໄວ້ໃນ Rust, ເຊິ່ງສະຫນອງເຄື່ອງມືທີ່ປອດໄພໃນຫນ່ວຍຄວາມຈໍາເພື່ອຫຼີກເວັ້ນຄວາມອ່ອນແອທີ່ເກີດຈາກການແກ້ໄຂພື້ນທີ່ຫນ່ວຍຄວາມຈໍາຫຼັງຈາກທີ່ມັນຖືກປົດປ່ອຍ, ການປະຕິເສດຕົວຊີ້ null, ແລະ buffer overruns. ເມື່ອສ້າງ, ຮູບແບບການລວບລວມ "--enable-default-pie" ແລະ "--enable-default-ssp" ຖືກໃຊ້ໂດຍຄ່າເລີ່ມຕົ້ນເພື່ອເປີດໃຊ້ການສຸ່ມພື້ນທີ່ທີ່ຢູ່ຂອງໄຟລ໌ທີ່ສາມາດປະຕິບັດໄດ້ (PIE) ແລະການປ້ອງກັນການ overflows stack ໂດຍຜ່ານການທົດແທນປ້າຍ canary. ສຳລັບແພັກເກັດທີ່ຂຽນໄວ້ໃນ C/C++, ທຸງ "-Wall", "-Werror=format-security", "-Wp,-D_FORTIFY_SOURCE=2", "-Wp,-D_GLIBCXX_ASSERTIONS" ແລະ "-fstack-clash" ຍັງມີອີກ. ລວມ​ທັງ​ການ​ປົກ​ປັກ​ຮັກ​ສາ​.

ໃນການປ່ອຍໃຫມ່:

• ເມື່ອຕິດຕັ້ງແພັກເກັດ RPM, ມັນເປັນໄປໄດ້ທີ່ຈະສ້າງບັນຊີລາຍຊື່ຂອງໂປແກມໃນຮູບແບບ JSON ແລະຕິດຕັ້ງມັນເຂົ້າໄປໃນຖັງໂຮດເປັນໄຟລ໌ /var/lib/bottlerocket/inventory/application.json ເພື່ອຂໍຂໍ້ມູນກ່ຽວກັບແພັກເກັດທີ່ມີຢູ່.
• ບັນຈຸ "admin" ແລະ "ຄວບຄຸມ" ໄດ້ຖືກປັບປຸງ.
• ອັບເດດແພັກເກດ ແລະການຂຶ້ນກັບພາສາ Go ແລະ Rust.
• ອັບເດດເວີຊັນຂອງແພັກເກດທີ່ມີໂປຼແກຼມພາກສ່ວນທີສາມ.
• ແກ້ໄຂບັນຫາການຕັ້ງຄ່າ tmpfilesd ສໍາລັບ kmod-5.10-nvidia.
• ເມື່ອຕິດຕັ້ງ tuftool, ລຸ້ນທີ່ເພິ່ງພາອາໄສແມ່ນເຊື່ອມຕໍ່.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru