Компанијата Амазон објави за конечното издание Кошница — специјализирана дистрибуција за водење контејнери и ефикасно управување со нив.

Bottlerocket (патем, името дадено на малите домашни ракети со црн прав) не е првиот оперативен систем за контејнери, но веројатно е дека ќе стане широко распространет благодарение на стандардната интеграција со услугите AWS. Иако системот е фокусиран на облакот Амазон, кодот со отворен код овозможува да се изгради насекаде: локално на сервер, на Raspberry Pi, во кој било конкурентен облак, па дури и во средина без контејнери.

Ова е целосно достојна замена за дистрибуцијата CoreOS што ја закопа Red Hat.

Всушност, одделот за веб-услуги на Amazon веќе го има Amazon Linux, кој неодамна излезе во својата втора верзија: тоа е дистрибуција за општа намена што може да се работи во контејнер Docker или со Linux KVM, Microsoft Hyper-V и VMware. ESXi хипервизори. Тој беше оптимизиран да работи на облакот AWS, но со објавувањето на Bottlerocket, сите се охрабруваат да се надополнат на нов систем кој е побезбеден, модерен и користи помалку ресурси.

AWS го објави Bottlerocket во март 2020 година. Таа веднаш призна дека ова не е првиот „Linux за контејнери“, наведувајќи ги CoreOS, Rancher OS и Project Atomic како извори на инспирација. Програмерите напишаа дека оперативниот систем е „резултат на лекциите што ги научивме од работењето на производствените услуги на скалата на Амазон долго време, и искуството што го стекнавме во последните шест години за тоа како да управуваме со контејнерите“.

Екстремен минимализам

Линукс е лишен од сè што не е потребно за да се стартуваат контејнерите. Овој дизајн, според компанијата, ја намалува површината на нападот.

Ова значи дека на основниот систем се инсталирани помалку пакети, што го олеснува одржувањето и ажурирањето на ОС, а исто така ја намалува веројатноста за проблеми поради зависности, намалувајќи ја употребата на ресурсите. Во основа, сè овде функционира во посебни контејнери, а основниот систем е практично гол.

Амазон, исто така, ги отстрани сите школки и преведувачи, елиминирајќи го ризикот да бидат искористени или корисниците случајно да ги зголемат привилегиите. Заради минимализмот и безбедноста, основната слика не вклучува командна школка, SSH сервер или интерпретирани јазици како Python. Администраторските алатки се сместени во посебен контејнер за услуги, кој стандардно е оневозможен.

Системот се управува на два начина: преку API и оркестрација.

Наместо менаџер на пакети кој ажурира поединечни парчиња софтвер, Bottlerocket презема целосна слика од датотечен систем и се рестартира во неа. Ако оптоварувањето не успее, тој автоматски се враќа назад, а неуспехот на обемот на работа може да предизвика рачно враќање (наредба преку API).

Рамка TUF (Рамката за ажурирање) презема ажурирања засновани на слики на алтернативни или „немонтирани“ партиции. За системот се распределени две партиции на дискот, од кои едната го содржи активниот систем, а ажурирањето се копира на втората. Во овој случај, root партицијата е монтирана во режим само за читање, а партицијата /etc монтиран со датотечен систем во RAM меморија tmpfs и ја враќа првобитната состојба по рестартирање. Директна измена на конфигурациските датотеки во /etc не е поддржано: за да ги зачувате поставките треба да го користите API или да ја преместите функционалноста во посебни контејнери.

Шема за ажурирање на API

безбедност

Контејнерите се креирани со стандардни механизми на кернелот на Linux - cgroups, namespaces и seccomp и се користат како систем за контрола на принуден пристап, односно за дополнителна изолација SELinux во режим на „спроведување“.

Стандардно, политиките се овозможени за споделување ресурси помеѓу контејнерите и кернелот. Бинарите се заштитени со знаменца за да се спречат корисниците или програмите да ги извршуваат. И ако некој стигне до датотечниот систем, Bottlerocket нуди алатка за проверка и следење на направените промени.

Режимот „потврдено подигање“ се имплементира преку функцијата уред-мапер-верност (dm-верност), кој го проверува интегритетот на root партицијата за време на подигањето. AWS го опишува dm-verity како „карактеристика на кернелот на Linux што обезбедува проверки на интегритет за да се спречи малициозен софтвер да работи на ОС, како што е препишување на основниот системски софтвер“.

Во системот има и филтер eGMP (продолжен BPF, развиен од Алексеј Старовоитов), што овозможува да се заменат модулите на јадрото со посигурни BPF програми за системски операции на ниско ниво.

Модел на извршување
Кориснички дефинирано
Компилација
безбедност
Режим на неуспех
Пристап до ресурси

Корисник
предизвик
Да
било
кориснички права
прекинете го извршувањето
системски повик, дефект

Јадрото
предизвик
Нема
статични
Нема
паника на јадрото
прямой

BPF
настан
Да
JIT, CO-RE
верификација, JIT
грешка порака
ограничени помошници

Како BPF се разликува од кодот на редовниот корисник или нивото на јадрото извор

AWS рече дека Bottlerocket „вработува оперативен модел кој дополнително ја подобрува безбедноста со спречување на врски со производствени сервери со административни привилегии“ и е „погоден за големи дистрибуирани системи каде што контролата врз секој поединечен домаќин е ограничена“.

Обезбеден е администраторски контејнер за системските администратори. Но, AWS не мисли дека администраторот честопати ќе треба да работи во Bottlerocket: „Актот на најавување во посебна инстанца на Bottlerocket е наменет за ретки операции: напредно дебагирање и смена на проблеми“. пишувај програмери.

Јазик на 'рѓа

Инструментацијата на ОС на врвот на кернелот е претежно напишана во Rust. Овој јазик е по својата природа ја намалува веројатноста за небезбеден пристап до меморијатаИ ги елиминира условите за трка помеѓу нишките.

Знамињата стандардно се применуваат при градење --enable-default-pie и --enable-default-ssp за да се овозможи рандомизација на адресниот простор на извршните датотеки (извршна датотека независна од позиција, PIE) и заштита од прелевање на оџакот.

За пакетите C/C++, вклучени се дополнителни знаменца -Wall, -Werror=format-security, -Wp,-D_FORTIFY_SOURCE=2, -Wp,-D_GLIBCXX_ASSERTIONS и -fstack-clash-protection.

Покрај Rust и C/C++, некои пакети се напишани во Go.

Интеграција со AWS услуги

Разликата од сличните оперативни системи за контејнери е во тоа што Amazon го оптимизираше Bottlerocket да работи на AWS и да се интегрира со други услуги AWS.

Најпопуларниот оркестратор на контејнери е Kubernetes, така што AWS воведе интеграција со сопствената Enterprise Kubernetes Service (EKS). Алатките за оркестрација доаѓаат во посебен контролен контејнер шише-контрола-контејнер, што е стандардно овозможено и управувано преку API и AWS SSM агент.

Ќе биде интересно да се види дали Bottlerocket ќе започне, со оглед на неуспехот на некои слични иницијативи во минатото. На пример, PhotonOS од Vmware се покажа како неподигнат, а RedHat го купи CoreOS и го затвори проектот, кој важеше за пионер во оваа област.

Интеграцијата на Bottlerocket во услугите AWS го прави овој систем единствен на свој начин. Ова е можеби главната причина зошто некои корисници може да го претпочитаат Bottlerocket пред други дистрибуции како што се CoreOS или Alpine. Системот првично е дизајниран да работи со EKS и ECS, но повторуваме дека тоа не е потребно. Прво, Bottlerocket може склопете сами и користете го, на пример, како хостирано решение. Второ, корисниците на EKS и ECS сè уште ќе имаат можност да го изберат својот оперативен систем.

Изворниот код на Bottlerocket е објавен на GitHub под лиценцата Apache 2.0. Програмерите веќе имаат одговори на извештаи за грешки и барања за функции.

За правата на рекламирање

ВДСина понуди VDS со дневно плаќање. Можно е да инсталирате кој било оперативен систем, вклучително и од вашата сопствена слика. Секој сервер е поврзан на интернет канал од 500 мегабити и е заштитен од DDoS напади бесплатно!

Извор: www.habr.com