ऍमेझॉन कंपनी घोषणा केली अंतिम प्रकाशन बद्दल बाटली रॉकेट - कंटेनर चालविण्यासाठी आणि त्यांचे प्रभावीपणे व्यवस्थापन करण्यासाठी एक विशेष वितरण.

बॉटलरॉकेट (तसे, लहान होममेड ब्लॅक पावडर रॉकेटला दिलेले नाव) कंटेनरसाठी पहिले ओएस नाही, परंतु AWS सेवांसह डीफॉल्ट एकत्रीकरणामुळे ते व्यापक बनण्याची शक्यता आहे. जरी सिस्टीम ऍमेझॉन क्लाउडवर केंद्रित असली तरी, ओपन सोर्स कोड तो कुठेही तयार करण्याची परवानगी देतो: स्थानिक पातळीवर सर्व्हरवर, रास्पबेरी पाईवर, कोणत्याही प्रतिस्पर्धी क्लाउडमध्ये आणि अगदी कंटेनरविरहित वातावरणात.

Red Hat ने पुरलेल्या CoreOS वितरणासाठी ही पूर्णपणे योग्य बदली आहे.

खरं तर, ऍमेझॉन वेब सर्व्हिसेस डिव्हिजनमध्ये आधीपासूनच ऍमेझॉन लिनक्स आहे, जे अलीकडेच त्याच्या दुसऱ्या आवृत्तीमध्ये आले आहे: हे एक सामान्य-उद्देश वितरण आहे जे डॉकर कंटेनरमध्ये किंवा लिनक्स केव्हीएम, मायक्रोसॉफ्ट हायपर-व्ही आणि व्हीएमवेअरसह चालवले जाऊ शकते. ESXi हायपरवाइजर्स. हे AWS क्लाउडवर चालण्यासाठी ऑप्टिमाइझ केले गेले होते, परंतु Bottlerocket च्या रिलीझसह, प्रत्येकाला अधिक सुरक्षित, आधुनिक आणि कमी संसाधने वापरणाऱ्या नवीन प्रणालीमध्ये अपग्रेड करण्यासाठी प्रोत्साहित केले जाते.

AWS ने बॉटलरॉकेटची घोषणा केली मार्च 2020 मध्ये. CoreOS, Rancher OS आणि Project Atomic यांना प्रेरणा स्त्रोत म्हणून उद्धृत करून तिने ताबडतोब कबूल केले की हे पहिले "कंटेनरसाठी लिनक्स" नाही. विकसकांनी लिहिले की ऑपरेटिंग सिस्टम "आम्ही अॅमेझॉनच्या स्केलवर दीर्घकाळ उत्पादन सेवा चालवण्यापासून शिकलेल्या धड्यांचा परिणाम आहे आणि गेल्या सहा वर्षांत कंटेनर कसे चालवायचे याबद्दल आम्हाला मिळालेल्या अनुभवाचा परिणाम आहे."

अत्यंत minimalism

कंटेनर चालविण्यासाठी आवश्यक नसलेल्या सर्व गोष्टी लिनक्समधून काढून टाकल्या जातात. हे डिझाइन, कंपनीच्या मते, आक्रमण पृष्ठभाग कमी करते.

याचा अर्थ बेस सिस्टमवर कमी पॅकेजेस इन्स्टॉल केले आहेत, ज्यामुळे OS ची देखरेख आणि अपडेट करणे सोपे होते आणि अवलंबित्वांमुळे समस्या येण्याची शक्यता देखील कमी होते, संसाधनांचा वापर कमी होतो. मूलभूतपणे, येथे सर्व काही स्वतंत्र कंटेनरमध्ये कार्य करते आणि अंतर्निहित प्रणाली व्यावहारिकदृष्ट्या बेअर आहे.

Amazon ने सर्व शेल आणि इंटरप्रिटर देखील काढून टाकले आहेत, त्यांचा वापर होण्याचा धोका किंवा वापरकर्त्यांनी चुकून विशेषाधिकार वाढवले ​​आहेत. मिनिमलिझम आणि सुरक्षिततेसाठी, बेस इमेजमध्ये कमांड शेल, एसएसएच सर्व्हर किंवा पायथन सारख्या व्याख्या केलेल्या भाषांचा समावेश नाही. प्रशासक साधने वेगळ्या सेवा कंटेनरमध्ये ठेवली जातात, जी डीफॉल्टनुसार अक्षम केली जातात.

प्रणाली दोन प्रकारे व्यवस्थापित केली जाते: API आणि ऑर्केस्ट्रेशन द्वारे.

सॉफ्टवेअरचे वैयक्तिक तुकडे अद्यतनित करणार्‍या पॅकेज व्यवस्थापकाऐवजी, बॉटलरॉकेट संपूर्ण फाइल सिस्टम प्रतिमा डाउनलोड करते आणि त्यामध्ये रीबूट करते. लोड अयशस्वी झाल्यास, ते आपोआप परत येते आणि वर्कलोड अयशस्वी झाल्यास मॅन्युअली रोलबॅक ट्रिगर होऊ शकतो (API द्वारे कमांड).

फ्रेमवर्क टीयूएफ (अपडेट फ्रेमवर्क) पर्यायी किंवा "अनमाउंट" विभाजनांसाठी प्रतिमा-आधारित अद्यतने डाउनलोड करते. सिस्टमसाठी दोन डिस्क विभाजने वाटप केली गेली आहेत, त्यापैकी एकामध्ये सक्रिय प्रणाली आहे आणि अद्यतन दुसऱ्यामध्ये कॉपी केले आहे. या प्रकरणात, रूट विभाजन केवळ-वाचनीय मोडमध्ये माउंट केले जाते आणि विभाजन /etc RAM मध्ये फाइल सिस्टमसह आरोहित tmpfs आणि रीस्टार्ट केल्यानंतर मूळ स्थिती पुनर्संचयित करते. मध्ये कॉन्फिगरेशन फाइल्सचे थेट बदल /etc समर्थित नाही: सेटिंग्ज सेव्ह करण्यासाठी तुम्ही API वापरावे किंवा कार्यक्षमता वेगळ्या कंटेनरमध्ये हलवावी.

API अद्यतन योजना

सुरक्षा

लिनक्स कर्नलच्या मानक यंत्रणेद्वारे कंटेनर तयार केले जातात - cgroups, नेमस्पेसेस आणि seccomp, आणि सक्तीने प्रवेश नियंत्रण प्रणाली म्हणून वापरले जातात, म्हणजे, अतिरिक्त अलगावसाठी. SELinux "अंमलबजावणी" मोडमध्ये.

डीफॉल्टनुसार, कंटेनर आणि कर्नल दरम्यान संसाधने सामायिक करण्यासाठी धोरणे सक्षम केली जातात. बायनरी वापरकर्त्यांना किंवा प्रोग्राम्सना ते कार्यान्वित करण्यापासून रोखण्यासाठी ध्वजांसह संरक्षित केले जातात. आणि जर एखाद्याने फाइल सिस्टममध्ये प्रवेश केला तर, Bottlerocket कोणतेही बदल तपासण्यासाठी आणि ट्रॅक करण्यासाठी एक साधन देते.

"सत्यापित बूट" मोड डिव्हाइस-मॅपर-व्हेरिटी फंक्शनद्वारे लागू केला जातो (dm-verity), जे बूट दरम्यान रूट विभाजनाची अखंडता तपासते. AWS dm-verity चे वर्णन "Linux कर्नलचे एक वैशिष्ट्य जे मालवेअरला OS वर चालण्यापासून रोखण्यासाठी अखंडता तपासणी प्रदान करते, जसे की कोर सिस्टम सॉफ्टवेअर ओव्हरराइट करणे."

सिस्टममध्ये एक फिल्टर देखील आहे ईबीपीएफ (विस्तारित बीपीएफ, Alexey Starovoitov द्वारे विकसित), जे कमी-स्तरीय सिस्टम ऑपरेशन्ससाठी अधिक सुरक्षित BPF प्रोग्रामसह कर्नल मॉड्यूल्स बदलण्याची परवानगी देते.

अंमलबजावणी मॉडेल
वापरकर्ता परिभाषित
संकलन
सुरक्षा
अयशस्वी मोड
संसाधनांमध्ये प्रवेश

वापरकर्ता
एक कार्य
होय
कोणत्याही
वापरकर्ता अधिकार
अंमलबजावणीमध्ये व्यत्यय आणणे
सिस्टम कॉल, दोष

गाभा
एक कार्य
नाही
स्थिर
नाही
कर्नल घाबरणे
सरळ

BPF
कार्यक्रम
होय
JIT, CO-RE
पडताळणी, JIT
त्रुटी संदेश
मर्यादित मदतनीस

नियमित वापरकर्ता किंवा कर्नल स्तर कोडपेक्षा BPF कसे वेगळे आहे स्त्रोत

AWS ने सांगितले की बॉटलरॉकेट "प्रशासकीय विशेषाधिकारांसह उत्पादन सर्व्हरशी कनेक्शन रोखून सुरक्षितता वाढविणारे ऑपरेटिंग मॉडेल वापरते" आणि "प्रत्येक वैयक्तिक होस्टवर नियंत्रण मर्यादित असलेल्या मोठ्या वितरण प्रणालींसाठी योग्य आहे."

सिस्टम प्रशासकांसाठी प्रशासक कंटेनर प्रदान केला आहे. परंतु AWS ला असे वाटत नाही की प्रशासकाला अनेकदा बॉटलरॉकेटमध्ये काम करण्याची आवश्यकता असेल: "वेगळ्या बॉटलरॉकेट उदाहरणामध्ये लॉग इन करण्याची क्रिया क्वचित ऑपरेशन्ससाठी आहे: प्रगत डीबगिंग आणि समस्यानिवारण," ते लिहितात विकासक

गंजलेली भाषा

कर्नलच्या वरचे ओएस इन्स्ट्रुमेंटेशन बहुतेक रस्टमध्ये लिहिलेले असते. ही भाषा तिच्या स्वभावानुसार आहे असुरक्षित मेमरी प्रवेशाची शक्यता कमी करतेआणि थ्रेड्समधील शर्यतीची स्थिती काढून टाकते.

ध्वज तयार करताना डीफॉल्टनुसार लागू केले जातात --enable-default-pie и --enable-default-ssp एक्झिक्यूटेबल फाइल्सच्या अॅड्रेस स्पेसचे यादृच्छिकीकरण सक्षम करण्यासाठी (स्थिती-स्वतंत्र कार्यान्वित करण्यायोग्य, PIE) आणि स्टॅक ओव्हरफ्लो संरक्षण.

C/C++ पॅकेजेससाठी, अतिरिक्त ध्वज समाविष्ट केले आहेत -Wall, -Werror=format-security, -Wp,-D_FORTIFY_SOURCE=2, -Wp,-D_GLIBCXX_ASSERTIONS и -fstack-clash-protection.

Rust आणि C/C++ व्यतिरिक्त, काही पॅकेजेस Go मध्ये लिहिलेले आहेत.

AWS सेवांसह एकत्रीकरण

तत्सम कंटेनर ऑपरेटिंग सिस्टममधील फरक असा आहे की Amazon ने AWS वर चालण्यासाठी आणि इतर AWS सेवांसह समाकलित करण्यासाठी Bottlerocket ऑप्टिमाइझ केले आहे.

सर्वात लोकप्रिय कंटेनर ऑर्केस्ट्रेटर कुबर्नेट्स आहे, म्हणून AWS ने स्वतःच्या एंटरप्राइझ कुबर्नेट्स सर्व्हिस (EKS) सह एकत्रीकरण सादर केले आहे. ऑर्केस्ट्रेशन साधने वेगळ्या कंट्रोल कंटेनरमध्ये येतात bottlerocket-कंट्रोल-कंटेनर, जे डीफॉल्टनुसार सक्षम केले जाते आणि API आणि AWS SSM एजंटद्वारे व्यवस्थापित केले जाते.

भूतकाळातील अशाच काही उपक्रमांना अपयश आल्याने बॉटलरॉकेट सुरू होते की नाही हे पाहणे मनोरंजक ठरेल. उदाहरणार्थ, Vmware मधील PhotonOS दावा न केलेले निघाले आणि RedHat ने CoreOS विकत घेतले आणि प्रकल्प बंद केला, ज्यांना या क्षेत्रातील अग्रगण्य मानले जात असे.

AWS सेवांमध्ये Bottlerocket चे एकत्रीकरण ही प्रणाली स्वतःच्या मार्गाने अद्वितीय बनवते. हे कदाचित मुख्य कारण आहे की काही वापरकर्ते CoreOS किंवा Alpine सारख्या इतर distros पेक्षा Bottlerocket ला प्राधान्य देतात. प्रणाली सुरुवातीला EKS आणि ECS सह कार्य करण्यासाठी डिझाइन केलेली आहे, परंतु आम्ही पुनरावृत्ती करतो की हे आवश्यक नाही. प्रथम, Bottlerocket करू शकता स्वतः एकत्र करा आणि ते वापरा, उदाहरणार्थ, होस्ट केलेले समाधान म्हणून. दुसरे म्हणजे, EKS आणि ECS वापरकर्त्यांना त्यांचे OS निवडण्याची क्षमता असेल.

बॉटलरॉकेट सोर्स कोड गिटहबवर Apache 2.0 परवान्याअंतर्गत प्रकाशित केला आहे. विकासकांनी आधीच बग अहवाल आणि वैशिष्ट्य विनंत्यांना प्रतिसाद द्या.

जाहिरातींच्या अधिकारांवर

VDSina ऑफर दैनंदिन पेमेंटसह VDS. आपल्या स्वतःच्या प्रतिमेसह कोणतीही ऑपरेटिंग सिस्टम स्थापित करणे शक्य आहे. प्रत्येक सर्व्हर 500 मेगाबिट्सच्या इंटरनेट चॅनेलशी कनेक्ट केलेला आहे आणि डीडीओएस हल्ल्यांपासून विनामूल्य संरक्षित आहे!

स्त्रोत: www.habr.com