ആമസോൺ കമ്പനി പ്രഖ്യാപിച്ചു അന്തിമ റിലീസിനെ കുറിച്ച് ബോട്ടിൽ‌റോക്കറ്റ് - കണ്ടെയ്നറുകൾ പ്രവർത്തിപ്പിക്കുന്നതിനും അവ ഫലപ്രദമായി കൈകാര്യം ചെയ്യുന്നതിനുമുള്ള ഒരു പ്രത്യേക വിതരണം.

Bottlerocket (വഴിയിൽ, ചെറിയ ഭവനങ്ങളിൽ നിർമ്മിച്ച ബ്ലാക്ക് പൗഡർ റോക്കറ്റുകൾക്ക് നൽകിയിരിക്കുന്ന പേര്) കണ്ടെയ്നറുകൾക്കുള്ള ആദ്യത്തെ OS അല്ല, എന്നാൽ AWS സേവനങ്ങളുമായുള്ള സ്ഥിരമായ സംയോജനത്തിന് നന്ദി ഇത് വ്യാപകമാകാൻ സാധ്യതയുണ്ട്. സിസ്റ്റം ആമസോൺ ക്ലൗഡിൽ ശ്രദ്ധ കേന്ദ്രീകരിച്ചിട്ടുണ്ടെങ്കിലും, ഓപ്പൺ സോഴ്‌സ് കോഡ് അത് എവിടെയും നിർമ്മിക്കാൻ അനുവദിക്കുന്നു: പ്രാദേശികമായി ഒരു സെർവറിൽ, ഒരു റാസ്‌ബെറി പൈയിൽ, ഏത് മത്സരിക്കുന്ന ക്ലൗഡിലും, കൂടാതെ കണ്ടെയ്‌നർ ഇല്ലാത്ത അന്തരീക്ഷത്തിലും.

ഇത് Red Hat അടക്കം ചെയ്ത CoreOS വിതരണത്തിന് തികച്ചും യോഗ്യമായ ഒരു പകരക്കാരനാണ്.

വാസ്തവത്തിൽ, ആമസോൺ വെബ് സേവന വിഭാഗത്തിന് ഇതിനകം തന്നെ ആമസോൺ ലിനക്സ് ഉണ്ട്, അത് അടുത്തിടെ അതിന്റെ രണ്ടാമത്തെ പതിപ്പിൽ പുറത്തിറങ്ങി: ഇത് ഒരു ഡോക്കർ കണ്ടെയ്‌നറിലോ ലിനക്സ് കെവിഎം, മൈക്രോസോഫ്റ്റ് ഹൈപ്പർ-വി, വിഎംവെയർ എന്നിവയിലോ പ്രവർത്തിപ്പിക്കാവുന്ന ഒരു പൊതു ആവശ്യ വിതരണമാണ്. ESXi ഹൈപ്പർവൈസറുകൾ. AWS ക്ലൗഡിൽ പ്രവർത്തിക്കാൻ ഇത് ഒപ്റ്റിമൈസ് ചെയ്‌തു, എന്നാൽ Bottlerocket പുറത്തിറങ്ങിയതോടെ, കൂടുതൽ സുരക്ഷിതവും ആധുനികവും കുറച്ച് വിഭവങ്ങൾ ഉപയോഗിക്കുന്നതുമായ ഒരു പുതിയ സിസ്റ്റത്തിലേക്ക് അപ്‌ഗ്രേഡ് ചെയ്യാൻ എല്ലാവരേയും പ്രോത്സാഹിപ്പിക്കുന്നു.

AWS ബോട്ടിൽറോക്കറ്റ് പ്രഖ്യാപിച്ചു 2020 മാർച്ചിൽ. CoreOS, Rancher OS, Project Atomic എന്നിവ പ്രചോദനത്തിന്റെ സ്രോതസ്സുകളായി ഉദ്ധരിച്ചുകൊണ്ട് ഇത് ആദ്യത്തെ “ലിനക്സ് കണ്ടെയ്നറുകൾ” അല്ലെന്ന് അവൾ ഉടൻ സമ്മതിച്ചു. ഡെവലപ്പർമാർ എഴുതി, "ദീർഘകാലമായി ആമസോണിന്റെ സ്കെയിലിൽ പ്രൊഡക്ഷൻ സേവനങ്ങൾ പ്രവർത്തിപ്പിക്കുന്നതിൽ നിന്ന് ഞങ്ങൾ പഠിച്ച പാഠങ്ങളുടെയും കണ്ടെയ്നറുകൾ എങ്ങനെ പ്രവർത്തിപ്പിക്കാമെന്നതിനെക്കുറിച്ചുള്ള കഴിഞ്ഞ ആറ് വർഷമായി ഞങ്ങൾ നേടിയ അനുഭവത്തിന്റെയും ഫലമാണ്."

അങ്ങേയറ്റം മിനിമലിസം

കണ്ടെയ്‌നറുകൾ പ്രവർത്തിപ്പിക്കാൻ ആവശ്യമില്ലാത്തതെല്ലാം ലിനക്‌സിൽ നിന്ന് നീക്കം ചെയ്‌തു. ഈ ഡിസൈൻ, കമ്പനിയുടെ അഭിപ്രായത്തിൽ, ആക്രമണ ഉപരിതലം കുറയ്ക്കുന്നു.

ഇതിനർത്ഥം അടിസ്ഥാന സിസ്റ്റത്തിൽ കുറച്ച് പാക്കേജുകൾ ഇൻസ്റ്റാൾ ചെയ്തിട്ടുണ്ട്, ഇത് OS പരിപാലിക്കുന്നതും അപ്‌ഡേറ്റ് ചെയ്യുന്നതും എളുപ്പമാക്കുന്നു, കൂടാതെ ഡിപൻഡൻസികൾ മൂലമുള്ള പ്രശ്‌നങ്ങളുടെ സാധ്യത കുറയ്ക്കുകയും വിഭവ ഉപയോഗം കുറയ്ക്കുകയും ചെയ്യുന്നു. അടിസ്ഥാനപരമായി, ഇവിടെയുള്ള എല്ലാം പ്രത്യേക പാത്രങ്ങൾക്കുള്ളിൽ പ്രവർത്തിക്കുന്നു, കൂടാതെ അടിസ്ഥാന സംവിധാനം പ്രായോഗികമായി നഗ്നമാണ്.

ആമസോൺ എല്ലാ ഷെല്ലുകളും വ്യാഖ്യാതാക്കളും നീക്കം ചെയ്‌തു, അവ ഉപയോഗിക്കുന്നതിന്റെ അപകടസാധ്യത ഇല്ലാതാക്കുകയോ ഉപയോക്താക്കൾ ആകസ്മികമായി പ്രത്യേകാവകാശങ്ങൾ വർദ്ധിപ്പിക്കുകയോ ചെയ്യുന്നു. മിനിമലിസത്തിനും സുരക്ഷയ്ക്കും വേണ്ടി, അടിസ്ഥാന ഇമേജിൽ ഒരു കമാൻഡ് ഷെൽ, ഒരു SSH സെർവർ, അല്ലെങ്കിൽ പൈത്തൺ പോലെയുള്ള വ്യാഖ്യാന ഭാഷകൾ എന്നിവ ഉൾപ്പെടുന്നില്ല. അഡ്‌മിനിസ്‌ട്രേറ്റർ ടൂളുകൾ ഒരു പ്രത്യേക സേവന കണ്ടെയ്‌നറിൽ സ്ഥാപിച്ചിരിക്കുന്നു, അത് ഡിഫോൾട്ടായി പ്രവർത്തനരഹിതമാണ്.

സിസ്റ്റം രണ്ട് തരത്തിലാണ് കൈകാര്യം ചെയ്യുന്നത്: API, ഓർക്കസ്ട്രേഷൻ എന്നിവയിലൂടെ.

വ്യക്തിഗത സോഫ്‌റ്റ്‌വെയറുകൾ അപ്‌ഡേറ്റ് ചെയ്യുന്ന ഒരു പാക്കേജ് മാനേജറിന് പകരം, Bottlerocket ഒരു സമ്പൂർണ്ണ ഫയൽസിസ്റ്റം ഇമേജ് ഡൗൺലോഡ് ചെയ്യുകയും അതിലേക്ക് റീബൂട്ട് ചെയ്യുകയും ചെയ്യുന്നു. ഒരു ലോഡ് പരാജയപ്പെടുകയാണെങ്കിൽ, അത് യാന്ത്രികമായി റോൾബാക്ക് ചെയ്യും, ഒരു വർക്ക് ലോഡ് പരാജയം സ്വമേധയാ ഒരു റോൾബാക്ക് ട്രിഗർ ചെയ്യാം (API വഴിയുള്ള കമാൻഡ്).

ചട്ടക്കൂട് TUF (അപ്‌ഡേറ്റ് ഫ്രെയിംവർക്ക്) ഇമേജ് അടിസ്ഥാനമാക്കിയുള്ള അപ്‌ഡേറ്റുകൾ ഇതര അല്ലെങ്കിൽ "അൺമൗണ്ട് ചെയ്യാത്ത" പാർട്ടീഷനുകളിലേക്ക് ഡൗൺലോഡ് ചെയ്യുന്നു. സിസ്റ്റത്തിനായി രണ്ട് ഡിസ്ക് പാർട്ടീഷനുകൾ അനുവദിച്ചിരിക്കുന്നു, അവയിലൊന്ന് സജീവമായ സിസ്റ്റം ഉൾക്കൊള്ളുന്നു, അപ്ഡേറ്റ് രണ്ടാമത്തേതിലേക്ക് പകർത്തുന്നു. ഈ സാഹചര്യത്തിൽ, റൂട്ട് പാർട്ടീഷൻ റീഡ്-ഒൺലി മോഡിലും പാർട്ടീഷനിലും മൌണ്ട് ചെയ്തിരിക്കുന്നു /etc RAM-ൽ ഫയൽ സിസ്റ്റം ഉപയോഗിച്ച് മൌണ്ട് ചെയ്തു tmpfs പുനരാരംഭിച്ചതിന് ശേഷം യഥാർത്ഥ അവസ്ഥ പുനഃസ്ഥാപിക്കുകയും ചെയ്യുന്നു. കോൺഫിഗറേഷൻ ഫയലുകളുടെ നേരിട്ടുള്ള മാറ്റം /etc പിന്തുണയ്‌ക്കുന്നില്ല: ക്രമീകരണങ്ങൾ സംരക്ഷിക്കുന്നതിന് നിങ്ങൾ API ഉപയോഗിക്കണം അല്ലെങ്കിൽ പ്രവർത്തനം പ്രത്യേക കണ്ടെയ്‌നറുകളിലേക്ക് നീക്കണം.

API അപ്ഡേറ്റ് സ്കീം

സുരക്ഷ

ലിനക്സ് കേർണലിന്റെ സ്റ്റാൻഡേർഡ് മെക്കാനിസങ്ങൾ ഉപയോഗിച്ചാണ് കണ്ടെയ്നറുകൾ സൃഷ്ടിക്കുന്നത് - cgroups, namespaces, seccomp, കൂടാതെ നിർബന്ധിത ആക്സസ് കൺട്രോൾ സിസ്റ്റമായി ഉപയോഗിക്കുന്നു, അതായത്, അധിക ഒറ്റപ്പെടലിനായി എസ്ഇലിനക്സ് "നിർവഹണം" മോഡിൽ.

ഡിഫോൾട്ടായി, കണ്ടെയ്‌നറുകൾക്കും കേർണലിനും ഇടയിൽ വിഭവങ്ങൾ പങ്കിടാൻ നയങ്ങൾ പ്രവർത്തനക്ഷമമാക്കിയിരിക്കുന്നു. ഉപയോക്താക്കളെയോ പ്രോഗ്രാമുകളെയോ എക്സിക്യൂട്ട് ചെയ്യുന്നതിൽ നിന്ന് തടയാൻ ബൈനറികൾ ഫ്ലാഗുകൾ ഉപയോഗിച്ച് പരിരക്ഷിച്ചിരിക്കുന്നു. ആരെങ്കിലും ഫയൽ സിസ്റ്റത്തിൽ എത്തിയാൽ, വരുത്തിയ മാറ്റങ്ങൾ പരിശോധിക്കാനും ട്രാക്കുചെയ്യാനുമുള്ള ഒരു ടൂൾ Bottlerocket വാഗ്ദാനം ചെയ്യുന്നു.

"പരിശോധിച്ച ബൂട്ട്" മോഡ് ഡിവൈസ്-മാപ്പർ-വെരിറ്റി ഫംഗ്ഷനിലൂടെ നടപ്പിലാക്കുന്നു (dm-verity), ഇത് ബൂട്ട് സമയത്ത് റൂട്ട് പാർട്ടീഷന്റെ സമഗ്രത പരിശോധിക്കുന്നു. കോർ സിസ്റ്റം സോഫ്റ്റ്‌വെയർ ഓവർറൈറ്റിംഗ് പോലുള്ള ക്ഷുദ്രവെയർ OS-ൽ പ്രവർത്തിക്കുന്നത് തടയാൻ സമഗ്രത പരിശോധിക്കുന്ന ലിനക്സ് കേർണലിന്റെ ഒരു സവിശേഷതയായി AWS dm-verityയെ വിവരിക്കുന്നു.

സിസ്റ്റത്തിൽ ഒരു ഫിൽട്ടറും ഉണ്ട് ഇബിപിഎഫ് (വിപുലീകരിച്ച BPF, അലക്സി സ്റ്റാരോവോയിറ്റോവ് വികസിപ്പിച്ചെടുത്തു), ലോ-ലെവൽ സിസ്റ്റം പ്രവർത്തനങ്ങൾക്കായി കൂടുതൽ സുരക്ഷിതമായ BPF പ്രോഗ്രാമുകൾ ഉപയോഗിച്ച് കേർണൽ മൊഡ്യൂളുകൾ മാറ്റിസ്ഥാപിക്കാൻ ഇത് അനുവദിക്കുന്നു.

എക്സിക്യൂഷൻ മോഡൽ
ഉപയോക്താവ് നിർവചിച്ചു
സമാഹരണം
സുരക്ഷ
പരാജയ മോഡ്
വിഭവങ്ങളിലേക്കുള്ള പ്രവേശനം

ഉപയോക്താവ്
ചുമതല
അതെ
ഏതെങ്കിലും
ഉപയോക്തൃ അവകാശങ്ങൾ
നിർവ്വഹണം തടസ്സപ്പെടുത്തുക
സിസ്റ്റം കോൾ, തെറ്റ്

കോർ
ചുമതല
ഇല്ല
നിശ്ചലമായ
ഇല്ല
കേർണൽ പരിഭ്രാന്തി
നേരെ

ബിപിഎഫ്
ഇവന്റ്
അതെ
JIT, CO-RE
സ്ഥിരീകരണം, JIT
പിശക് സന്ദേശം
പരിമിതമായ സഹായികൾ

സാധാരണ ഉപയോക്താവിൽ നിന്നോ കേർണൽ ലെവൽ കോഡിൽ നിന്നോ BPF എങ്ങനെ വ്യത്യാസപ്പെട്ടിരിക്കുന്നു ഉറവിടം

AWS പറഞ്ഞു, Bottlerocket "അഡ്‌മിനിസ്‌ട്രേറ്റീവ് പ്രത്യേകാവകാശങ്ങളുള്ള പ്രൊഡക്ഷൻ സെർവറുകളിലേക്കുള്ള കണക്ഷനുകൾ തടയുന്നതിലൂടെ സുരക്ഷ കൂടുതൽ മെച്ചപ്പെടുത്തുന്ന ഒരു ഓപ്പറേറ്റിംഗ് മോഡൽ ഉപയോഗിക്കുന്നു" കൂടാതെ "ഓരോ ഹോസ്റ്റിന്റെയും നിയന്ത്രണം പരിമിതമായ വലിയ വിതരണ സംവിധാനങ്ങൾക്ക് ഇത് അനുയോജ്യമാണ്."

സിസ്റ്റം അഡ്മിനിസ്ട്രേറ്റർമാർക്കായി ഒരു അഡ്മിനിസ്ട്രേറ്റർ കണ്ടെയ്നർ നൽകിയിട്ടുണ്ട്. എന്നാൽ ഒരു അഡ്മിൻ പലപ്പോഴും ബോട്ടിൽറോക്കറ്റിനുള്ളിൽ പ്രവർത്തിക്കേണ്ടിവരുമെന്ന് AWS കരുതുന്നില്ല: "പ്രത്യേക ബോട്ടിൽറോക്കറ്റ് ഉദാഹരണത്തിലേക്ക് ലോഗിൻ ചെയ്യുന്ന പ്രവർത്തനം അപൂർവ്വ പ്രവർത്തനങ്ങൾക്കായി ഉദ്ദേശിച്ചുള്ളതാണ്: വിപുലമായ ഡീബഗ്ഗിംഗും ട്രബിൾഷൂട്ടിംഗും," എഴുതുക ഡെവലപ്പർമാർ.

തുരുമ്പ് ഭാഷ

കേർണലിന് മുകളിലുള്ള OS ഇൻസ്ട്രുമെന്റേഷൻ മിക്കവാറും റസ്റ്റിലാണ് എഴുതിയിരിക്കുന്നത്. ഈ ഭാഷ അതിന്റെ സ്വഭാവമനുസരിച്ചാണ് സുരക്ഷിതമല്ലാത്ത മെമ്മറി ആക്സസ് സാധ്യത കുറയ്ക്കുന്നു, അതുപോലെ തന്നെ ത്രെഡുകൾക്കിടയിലുള്ള റേസ് വ്യവസ്ഥകൾ ഇല്ലാതാക്കുന്നു.

പണിയുമ്പോൾ പതാകകൾ സ്ഥിരസ്ഥിതിയായി പ്രയോഗിക്കുന്നു --enable-default-pie и --enable-default-ssp എക്സിക്യൂട്ടബിൾ ഫയലുകളുടെ വിലാസ സ്ഥലത്തിന്റെ ക്രമരഹിതമാക്കൽ പ്രവർത്തനക്ഷമമാക്കുന്നതിന് (സ്ഥാന-സ്വതന്ത്ര എക്സിക്യൂട്ടബിൾ, PIE) കൂടാതെ സ്റ്റാക്ക് ഓവർഫ്ലോ സംരക്ഷണവും.

C/C++ പാക്കേജുകൾക്കായി, അധിക ഫ്ലാഗുകൾ ഉൾപ്പെടുത്തിയിട്ടുണ്ട് -Wall, -Werror=format-security, -Wp,-D_FORTIFY_SOURCE=2, -Wp,-D_GLIBCXX_ASSERTIONS и -fstack-clash-protection.

റസ്റ്റ്, സി/സി++ എന്നിവ കൂടാതെ, ചില പാക്കേജുകൾ Go-യിൽ എഴുതിയിരിക്കുന്നു.

AWS സേവനങ്ങളുമായുള്ള സംയോജനം

സമാന കണ്ടെയ്‌നർ ഓപ്പറേറ്റിംഗ് സിസ്റ്റങ്ങളിൽ നിന്നുള്ള വ്യത്യാസം, AWS-ൽ പ്രവർത്തിക്കാനും മറ്റ് AWS സേവനങ്ങളുമായി സംയോജിപ്പിക്കാനും ആമസോൺ ബോട്ടിൽറോക്കറ്റ് ഒപ്റ്റിമൈസ് ചെയ്തിട്ടുണ്ട് എന്നതാണ്.

ഏറ്റവും ജനപ്രിയമായ കണ്ടെയ്നർ ഓർക്കസ്ട്രേറ്റർ കുബർനെറ്റസ് ആണ്, അതിനാൽ AWS അതിന്റെ സ്വന്തം എന്റർപ്രൈസ് കുബർനെറ്റ്സ് സേവനവുമായി (ഇകെഎസ്) സംയോജനം അവതരിപ്പിച്ചു. ഓർക്കസ്ട്രേഷൻ ടൂളുകൾ ഒരു പ്രത്യേക നിയന്ത്രണ പാത്രത്തിലാണ് വരുന്നത് ബോട്ടിൽറോക്കറ്റ്-കൺട്രോൾ കണ്ടെയ്നർ, ഇത് സ്ഥിരസ്ഥിതിയായി പ്രവർത്തനക്ഷമമാക്കുകയും API, AWS SSM ഏജന്റ് എന്നിവ വഴി നിയന്ത്രിക്കുകയും ചെയ്യുന്നു.

മുൻകാലങ്ങളിൽ സമാനമായ ചില സംരംഭങ്ങളുടെ പരാജയം കണക്കിലെടുക്കുമ്പോൾ ബോട്ടിൽറോക്കറ്റ് പറന്നുയരുമോ എന്നത് രസകരമായിരിക്കും. ഉദാഹരണത്തിന്, Vmware-ൽ നിന്നുള്ള PhotonOS ക്ലെയിം ചെയ്യപ്പെടാത്തതായി മാറുകയും RedHat CoreOS വാങ്ങുകയും ചെയ്തു. പദ്ധതി അടച്ചു, ഫീൽഡിൽ ഒരു പയനിയർ ആയി കണക്കാക്കപ്പെട്ടിരുന്നു.

AWS സേവനങ്ങളിലേക്കുള്ള Bottlerocket-ന്റെ സംയോജനം ഈ സിസ്റ്റത്തെ അതിന്റേതായ രീതിയിൽ സവിശേഷമാക്കുന്നു. ചില ഉപയോക്താക്കൾ CoreOS അല്ലെങ്കിൽ Alpine പോലുള്ള മറ്റ് വിതരണങ്ങളെ അപേക്ഷിച്ച് Bottlerocket തിരഞ്ഞെടുക്കുന്നതിനുള്ള പ്രധാന കാരണം ഇതാണ്. സിസ്റ്റം തുടക്കത്തിൽ EKS, ECS എന്നിവയിൽ പ്രവർത്തിക്കാൻ രൂപകൽപ്പന ചെയ്തിട്ടുള്ളതാണ്, എന്നാൽ ഇത് ആവശ്യമില്ലെന്ന് ഞങ്ങൾ ആവർത്തിക്കുന്നു. ഒന്നാമതായി, ബോട്ടിൽറോക്കറ്റിന് കഴിയും സ്വയം കൂട്ടിച്ചേർക്കുക കൂടാതെ ഇത് ഉപയോഗിക്കുക, ഉദാഹരണത്തിന്, ഒരു ഹോസ്റ്റ് ചെയ്ത പരിഹാരമായി. രണ്ടാമതായി, EKS, ECS ഉപയോക്താക്കൾക്ക് അവരുടെ OS തിരഞ്ഞെടുക്കാനുള്ള കഴിവ് ഇപ്പോഴും ഉണ്ടായിരിക്കും.

Apache 2.0 ലൈസൻസിന് കീഴിൽ GitHub-ൽ Bottlerocket സോഴ്സ് കോഡ് പ്രസിദ്ധീകരിച്ചിട്ടുണ്ട്. ഡെവലപ്പർമാർ ഇതിനകം തന്നെ ബഗ് റിപ്പോർട്ടുകളോടും ഫീച്ചർ അഭ്യർത്ഥനകളോടും പ്രതികരിക്കുക.

ഒരു പരസ്യമായി

വി.ഡി.സിന ഓഫറുകൾ പ്രതിദിന പണമടച്ചുള്ള വി.ഡി.എസ്. നിങ്ങളുടെ സ്വന്തം ഇമേജിൽ നിന്ന് ഉൾപ്പെടെ ഏത് ഓപ്പറേറ്റിംഗ് സിസ്റ്റവും ഇൻസ്റ്റാൾ ചെയ്യാൻ കഴിയും. ഓരോ സെർവറും 500 മെഗാബൈറ്റുകളുടെ ഇന്റർനെറ്റ് ചാനലുമായി ബന്ധിപ്പിച്ചിരിക്കുന്നു കൂടാതെ DDoS ആക്രമണങ്ങളിൽ നിന്ന് സൗജന്യമായി പരിരക്ഷിച്ചിരിക്കുന്നു!

അവലംബം: www.habr.com