ആമസോൺ ബോട്ടിൽറോക്കറ്റ് 1.0.0 പുറത്തിറക്കി, Linux- ഒറ്റപ്പെട്ട പാത്രങ്ങളെ അടിസ്ഥാനമാക്കിയുള്ള ഒരു വിതരണം

ആമസോൺ കമ്പനി представила സ്പെഷ്യലൈസ് ചെയ്തതിന്റെ ആദ്യത്തെ പ്രധാന പ്രശ്നം Linux-വിതരണം ബോട്ടിൽറോക്കറ്റ് 1.0.0, ഒറ്റപ്പെട്ട കണ്ടെയ്‌നറുകൾ കാര്യക്ഷമമായും സുരക്ഷിതമായും പ്രവർത്തിപ്പിക്കുന്നതിനായി രൂപകൽപ്പന ചെയ്‌തിരിക്കുന്നു. വിതരണത്തിന്റെ ടൂളിംഗും നിയന്ത്രണ ഘടകങ്ങളും റസ്റ്റിൽ എഴുതിയിരിക്കുന്നു കൂടാതെ വ്യാപനം MIT, Apache 2.0 ലൈസൻസുകൾക്ക് കീഴിൽ ലൈസൻസ് ചെയ്‌തിരിക്കുന്നു. ഈ പ്രോജക്റ്റ് GitHub-ൽ വികസിപ്പിച്ചുകൊണ്ടിരിക്കുന്നു, കൂടാതെ കമ്മ്യൂണിറ്റി സംഭാവനകൾക്ക് ഇത് തുറന്നിരിക്കുന്നു. x86_64, Aarch64 ആർക്കിടെക്ചറുകൾക്കായി സിസ്റ്റം വിന്യാസ ചിത്രം നിർമ്മിച്ചിരിക്കുന്നു. Amazon ECS, AWS EKS Kubernetes ക്ലസ്റ്ററുകളിൽ പ്രവർത്തിക്കുന്നതിനാണ് OS അനുയോജ്യമാക്കിയിരിക്കുന്നത്. നൽകിയിരിക്കുന്നു കണ്ടെയ്‌നറുകൾക്കായുള്ള മറ്റ് ഓർക്കസ്ട്രേഷൻ ടൂളുകൾ, കേർണലുകൾ, റൺടൈമുകൾ എന്നിവ ഉപയോഗിക്കാൻ കഴിയുന്ന ഇഷ്‌ടാനുസൃത ബിൽഡുകളും പതിപ്പുകളും സൃഷ്ടിക്കുന്നതിനുള്ള ഉപകരണങ്ങൾ.

ഡിസ്ട്രിബ്യൂഷൻ കേർണൽ നൽകുന്നു Linux കണ്ടെയ്‌നറുകൾ പ്രവർത്തിപ്പിക്കുന്നതിന് ആവശ്യമായ ഘടകങ്ങൾ മാത്രം ഉൾപ്പെടുന്ന ഒരു മിനിമൽ സിസ്റ്റം എൻവയോൺമെന്റും. പ്രോജക്റ്റിൽ ഉപയോഗിക്കുന്ന പാക്കേജുകളിൽ systemd സിസ്റ്റം മാനേജർ, Glibc ലൈബ്രറി, ബിൽഡ് ടൂളുകൾ എന്നിവ ഉൾപ്പെടുന്നു.
ബിൽഡ്റൂട്ട്, GRUB ബൂട്ട്ലോഡർ, നെറ്റ്‌വർക്ക് കോൺഫിഗറേറ്റർ ദുഷ്ടൻ, ഒറ്റപ്പെട്ട കണ്ടെയ്നറുകൾക്കുള്ള റൺടൈം കണ്ടെയ്നർ, കുബേർനെറ്റസ് കണ്ടെയ്നർ ഓർക്കസ്ട്രേഷൻ പ്ലാറ്റ്‌ഫോം, aws-iam-ഓതന്റിക്കേറ്റർ ഓതന്റിക്കേറ്റർ, ആമസോൺ ECS ഏജന്റ് എന്നിവ ഇതിൽ ഉൾപ്പെടുന്നു.

ഡിസ്ട്രിബ്യൂഷൻ ആറ്റോമിക് ആയി അപ്ഡേറ്റ് ചെയ്യുകയും ഒരു അവിഭാജ്യ സിസ്റ്റം ഇമേജായി നൽകുകയും ചെയ്യുന്നു. സിസ്റ്റത്തിനായി രണ്ട് ഡിസ്ക് പാർട്ടീഷനുകൾ അനുവദിച്ചിരിക്കുന്നു, അതിലൊന്നിൽ സജീവ സിസ്റ്റം അടങ്ങിയിരിക്കുന്നു, രണ്ടാമത്തേത് അപ്ഡേറ്റ് പകർത്താൻ ഉപയോഗിക്കുന്നു. അപ്ഡേറ്റ് വിന്യസിച്ച ശേഷം, രണ്ടാമത്തെ പാർട്ടീഷൻ സജീവമാകും, അതേസമയം ആദ്യ പാർട്ടീഷൻ അടുത്ത അപ്ഡേറ്റ് വരുന്നതുവരെ സിസ്റ്റത്തിന്റെ മുൻ പതിപ്പ് സംഭരിക്കുന്നു, പ്രശ്നങ്ങൾ ഉണ്ടായാൽ ഉപയോക്താക്കളെ അതിലേക്ക് തിരികെ പോകാൻ അനുവദിക്കുന്നു. അഡ്മിനിസ്ട്രേറ്റർ ഇടപെടലില്ലാതെ അപ്ഡേറ്റുകൾ യാന്ത്രികമായി ഇൻസ്റ്റാൾ ചെയ്യപ്പെടും.

ഫെഡോറ CoreOS പോലുള്ള സമാന വിതരണങ്ങളിൽ നിന്നുള്ള പ്രധാന വ്യത്യാസം CentOS/റെഡ് ഹാറ്റ് ആറ്റോമിക് ഹോസ്റ്റ് പ്രധാനമായും നൽകുന്നത് പരമാവധി സുരക്ഷ സാധ്യതയുള്ള ഭീഷണികൾക്കെതിരെ സിസ്റ്റത്തിന്റെ സംരക്ഷണം ശക്തിപ്പെടുത്തുന്നതിന്റെയും, OS ഘടകങ്ങളിലെ ദുർബലതകളുടെ ചൂഷണം സങ്കീർണ്ണമാക്കുന്നതിന്റെയും, കണ്ടെയ്നർ ഐസൊലേഷൻ വർദ്ധിപ്പിക്കുന്നതിന്റെയും പശ്ചാത്തലത്തിൽ. സ്റ്റാൻഡേർഡ് കേർണൽ മെക്കാനിസങ്ങൾ ഉപയോഗിച്ചാണ് കണ്ടെയ്നറുകൾ സൃഷ്ടിക്കുന്നത്. Linux — cgroups, namespaces, seccomp. കൂടുതൽ ഒറ്റപ്പെടലിനായി, വിതരണം SE ഉപയോഗിക്കുന്നു.Linux "എൻഫോഴ്‌സിംഗ്" മോഡിൽ, റൂട്ട് പാർട്ടീഷന്റെ സമഗ്രതയുടെ ക്രിപ്‌റ്റോഗ്രാഫിക് പരിശോധനയ്ക്കായി മൊഡ്യൂൾ ഉപയോഗിക്കുന്നു. dm-verityബ്ലോക്ക് ഡിവൈസ് തലത്തിൽ ഡാറ്റയിൽ മാറ്റം വരുത്താൻ ശ്രമിച്ചാൽ, സിസ്റ്റം റീബൂട്ട് ചെയ്യും.

റൂട്ട് പാർട്ടീഷൻ റീഡ്-ഒൺലി മൌണ്ട് ചെയ്തിരിക്കുന്നു, കൂടാതെ /etc കോൺഫിഗറേഷൻ പാർട്ടീഷൻ ഒരു tmpfs പാർട്ടീഷനിൽ മൌണ്ട് ചെയ്യുകയും ഒരു റീബൂട്ടിന് ശേഷം അതിന്റെ യഥാർത്ഥ അവസ്ഥ പുനഃസ്ഥാപിക്കുകയും ചെയ്യുന്നു. /etc/resolv.conf, /etc/containerd/config.toml പോലുള്ള /etc ഡയറക്ടറിയിലെ ഫയലുകളുടെ നേരിട്ടുള്ള പരിഷ്ക്കരണം പിന്തുണയ്ക്കുന്നില്ല. ക്രമീകരണങ്ങൾ നിലനിർത്താൻ, API ഉപയോഗിക്കുക അല്ലെങ്കിൽ ഈ പ്രവർത്തനം പ്രത്യേക കണ്ടെയ്നറുകളിലേക്ക് നീക്കുക.

മിക്ക സിസ്റ്റം ഘടകങ്ങളും റസ്റ്റിലാണ് എഴുതിയിരിക്കുന്നത്, ഇത് യൂസ്-ആഫ്റ്റർ-ഫ്രീ, നൾ പോയിന്റർ ഡീറഫറൻസ്, ബഫർ ഓവർറൺ എന്നിവ മൂലമുണ്ടാകുന്ന കേടുപാടുകൾ തടയുന്നതിന് മെമ്മറി-സുരക്ഷിത സവിശേഷതകൾ നൽകുന്നു. എക്സിക്യൂട്ടബിളുകൾക്കായി അഡ്രസ് സ്പേസ് റാൻഡമൈസേഷൻ പ്രാപ്തമാക്കുന്നതിന് ഡിഫോൾട്ട് ബിൽഡ് "--enable-default-pie", "--enable-default-ssp" കംപൈലേഷൻ മോഡുകൾ ഉപയോഗിക്കുന്നു (ഫുട്ട്) കൂടാതെ കാനറി സബ്സ്റ്റിറ്റ്യൂഷൻ വഴി സ്റ്റാക്ക് ഓവർഫ്ലോ സംരക്ഷണം.
C/C++ ൽ എഴുതിയ പാക്കേജുകൾക്ക്, അധിക ഫ്ലാഗുകൾ ഉൾപ്പെടുത്തിയിട്ടുണ്ട്.
"-Wall", "-Werror=format-security", "-Wp,-D_FORTIFY_SOURCE=2", "-Wp,-D_GLIBCXX_ASSERTIONS", "-fstack-clash-protection" എന്നിവ.

കണ്ടെയ്നർ ഓർക്കസ്ട്രേഷൻ ഉപകരണങ്ങൾ പ്രത്യേകം വിതരണം ചെയ്യുന്നു. നിയന്ത്രണ കണ്ടെയ്നർ, ഇത് സ്ഥിരസ്ഥിതിയായി പ്രവർത്തനക്ഷമമാക്കുകയും നിയന്ത്രിക്കുകയും ചെയ്യുന്നു എപിഐ കൂടാതെ AWS SSM ഏജന്റ്. അടിസ്ഥാന ഇമേജിൽ ഒരു കമാൻഡ് ഷെൽ, SSH സെർവർ, വ്യാഖ്യാനിച്ച ഭാഷകൾ (ഉദാഹരണത്തിന്, പൈത്തൺ അല്ലെങ്കിൽ പേൾ ഇല്ല) എന്നിവയില്ല - അഡ്മിനിസ്ട്രേറ്റർ ടൂളുകളും ഡീബഗ്ഗിംഗ് ടൂളുകളും സ്ഥിതി ചെയ്യുന്നത് പ്രത്യേക സർവീസ് കണ്ടെയ്നർ, ഇത് സ്ഥിരസ്ഥിതിയായി പ്രവർത്തനരഹിതമാക്കിയിരിക്കുന്നു.

അവലംബം: opennet.ru