ऍमेझॉनने बॉटलरॉकेट 1.0.0 प्रकाशित केले, एक लिनक्स वितरण वेगळ्या कंटेनरवर आधारित आहे

ऍमेझॉन कंपनी सादर समर्पित लिनक्स वितरणाचे पहिले महत्त्वपूर्ण प्रकाशन बाटली रॉकेट 1.0.0, वेगळे कंटेनर कार्यक्षमतेने आणि सुरक्षितपणे चालवण्यासाठी डिझाइन केलेले. वितरणाची साधने आणि नियंत्रण घटक Rust आणि मध्ये लिहिलेले आहेत प्रसार MIT आणि Apache 2.0 लायसन्स अंतर्गत. हा प्रकल्प GitHub वर विकसित केला जात आहे आणि समुदाय सदस्यांच्या सहभागासाठी उपलब्ध आहे. सिस्टम डिप्लॉयमेंट इमेज x86_64 आणि Aarch64 आर्किटेक्चरसाठी व्युत्पन्न केली जाते. OS हे Amazon ECS आणि AWS EKS Kubernetes क्लस्टरवर चालण्यासाठी अनुकूल आहे. पुरविल्या जातात तुमची स्वतःची असेंब्ली आणि आवृत्त्या तयार करण्यासाठी साधने, जे इतर ऑर्केस्ट्रेशन साधने, कर्नल आणि कंटेनरसाठी रनटाइम वापरू शकतात.

वितरण लिनक्स कर्नल आणि किमान सिस्टम वातावरण पुरवते, फक्त कंटेनर चालवण्यासाठी आवश्यक घटकांसह. प्रकल्पामध्ये समाविष्ट असलेल्या पॅकेजेसमध्ये सिस्टम मॅनेजर systemd, Glibc लायब्ररी आणि असेंबली टूल्स आहेत.
बिल्डरूट, GRUB बूटलोडर, नेटवर्क कॉन्फिगरेटर दुष्ट, वेगळ्या कंटेनरसाठी रनटाइम कंटेनर, Kubernetes कंटेनर ऑर्केस्ट्रेशन प्लॅटफॉर्म, aws-iam-authenticator, आणि Amazon ECS एजंट.

वितरण आण्विकरित्या अद्यतनित केले जाते आणि अविभाज्य प्रणाली प्रतिमेच्या स्वरूपात वितरित केले जाते. सिस्टमसाठी दोन डिस्क विभाजने वाटप केली गेली आहेत, त्यापैकी एकामध्ये सक्रिय प्रणाली आहे आणि अद्यतन दुसऱ्यामध्ये कॉपी केले आहे. अद्यतन उपयोजित केल्यानंतर, दुसरे विभाजन सक्रिय होते, आणि पहिल्यामध्ये, पुढील अद्यतन येईपर्यंत, सिस्टमची मागील आवृत्ती जतन केली जाते, ज्यामध्ये समस्या उद्भवल्यास तुम्ही परत रोल करू शकता. प्रशासकाच्या हस्तक्षेपाशिवाय अद्यतने स्वयंचलितपणे स्थापित केली जातात.

Fedora CoreOS, CentOS/Red Hat Atomic Host सारख्या समान वितरणातील महत्त्वाचा फरक हा पुरवण्यावर प्राथमिक लक्ष आहे. कमाल सुरक्षा संभाव्य धोक्यांपासून सिस्टम संरक्षण मजबूत करण्याच्या संदर्भात, OS घटकांमधील भेद्यतेचे शोषण करणे आणि कंटेनरचे अलगाव वाढवणे अधिक कठीण बनवणे. मानक लिनक्स कर्नल यंत्रणा वापरून कंटेनर तयार केले जातात - cgroups, नेमस्पेसेस आणि seccomp. अतिरिक्त अलगावसाठी, वितरण "अंमलबजावणी" मोडमध्ये SELinux वापरते आणि मॉड्यूल रूट विभाजनाच्या अखंडतेच्या क्रिप्टोग्राफिक पडताळणीसाठी वापरले जाते. dm-verity. ब्लॉक साधन स्तरावर डेटा सुधारण्याचा प्रयत्न आढळल्यास, प्रणाली रीबूट होते.

रूट विभाजन केवळ-वाचण्यासाठी माउंट केले जाते, आणि /etc सेटिंग्ज विभाजन tmpfs मध्ये आरोहित केले जाते आणि रीस्टार्ट केल्यानंतर त्याच्या मूळ स्थितीत पुनर्संचयित केले जाते. /etc डिरेक्ट्रीमधील फाइल्सचे थेट बदल, जसे की /etc/resolv.conf आणि /etc/containerd/config.toml, समर्थित नाही - सेटिंग्ज कायमस्वरूपी जतन करण्यासाठी, तुम्ही API वापरणे आवश्यक आहे किंवा कार्यशीलता वेगळ्या कंटेनरमध्ये हलवणे आवश्यक आहे.

बहुतेक सिस्टम घटक रस्टमध्ये लिहिलेले असतात, जे फ्री-फ्री मेमरी ऍक्सेस, नल पॉइंटर डीरेफरेन्सेस आणि बफर ओव्हररन्समुळे होणारी भेद्यता टाळण्यासाठी मेमरी-सुरक्षित वैशिष्ट्ये प्रदान करते. डीफॉल्टनुसार तयार करताना, एक्झिक्यूटेबल फाइल्सच्या अॅड्रेस स्पेसचे यादृच्छिकीकरण सक्षम करण्यासाठी “--सक्षम-डीफॉल्ट-पाई” आणि “--सक्षम-डीफॉल्ट-एसएसपी” संकलन मोड वापरले जातात (पीआयई) आणि कॅनरी प्रतिस्थापनाद्वारे स्टॅक ओव्हरफ्लो संरक्षण.
C/C++ मध्ये लिहिलेल्या पॅकेजसाठी, अतिरिक्त ध्वज समाविष्ट केले आहेत
"-वॉल", "-Werror=format-security", "-Wp,-D_FORTIFY_SOURCE=2", "-Wp,-D_GLIBCXX_ASSERTIONS" आणि "-fstack-clash-protection".

कंटेनर ऑर्केस्ट्रेशन साधने स्वतंत्रपणे पुरवली जातात नियंत्रण कंटेनर, जे डीफॉल्टनुसार सक्षम केले जाते आणि द्वारे नियंत्रित केले जाते API आणि AWS SSM एजंट. बेस इमेजमध्ये कमांड शेल, एसएसएच सर्व्हर आणि व्याख्या केलेल्या भाषांचा अभाव आहे (उदाहरणार्थ, पायथन किंवा पर्ल नाही) - प्रशासकीय साधने आणि डीबगिंग साधने येथे आहेत स्वतंत्र सेवा कंटेनर, जे डीफॉल्टनुसार अक्षम केले आहे.

स्त्रोत: opennet.ru