Bottlerocket 1.3 को रिलीज, पृथक कन्टेनरहरूमा आधारित वितरण

अंक प्रकाशित भएको छ। LinuxBottlerocket 1.3.0, Amazon सँगको साझेदारीमा विकसित गरिएको वितरण, कुशलतापूर्वक र सुरक्षित रूपमा पृथक कन्टेनरहरू चलाउन डिजाइन गरिएको हो। वितरणको टूलिङ र नियन्त्रण घटकहरू Rust मा लेखिएका छन् र MIT र Apache 2.0 लाइसेन्स अन्तर्गत इजाजतपत्र प्राप्त छन्। Bottlerocket Amazon ECS, VMware, र AWS EKS Kubernetes क्लस्टरहरूमा चल्छ, साथै विभिन्न कन्टेनर अर्केस्ट्रेसन र रनटाइम उपकरणहरूको प्रयोगलाई समर्थन गर्ने अनुकूलन निर्माणहरू र संस्करणहरूलाई समर्थन गर्दछ।

वितरणले कर्नेल सहित, परमाणु र स्वचालित रूपमा अद्यावधिक गरिएको अविभाज्य प्रणाली छवि प्रदान गर्दछ। Linux र न्यूनतम प्रणाली वातावरण, जसमा कन्टेनरहरू चलाउन आवश्यक पर्ने कम्पोनेन्टहरू मात्र समावेश छन्। यो वातावरणमा systemd प्रणाली प्रबन्धक, Glibc पुस्तकालय, Buildroot बिल्ड टूलचेन, GRUB बुटलोडर, wicked नेटवर्क कन्फिगरेटर, आइसोलेटेड कन्टेनरहरूको लागि कन्टेनर रनटाइम, Kubernetes कन्टेनर अर्केस्ट्रेसन प्लेटफर्म, aws-iam-authenticator प्रमाणक, र Amazon ECS एजेन्ट समावेश छन्।

कन्टेनर अर्केस्ट्रेसन उपकरणहरू छुट्टै व्यवस्थापन कन्टेनरमा डेलिभर गरिन्छ, जुन पूर्वनिर्धारित रूपमा सक्षम पारिएको हुन्छ र API र AWS SSM एजेन्ट मार्फत व्यवस्थित गरिन्छ। आधार छविमा कमाण्ड शेल समावेश छैन। सर्भर SSH र व्याख्या गरिएका भाषाहरू (जस्तै पाइथन वा पर्ल होइन) - व्यवस्थापक र डिबगिङ उपकरणहरू छुट्टै सेवा कन्टेनरमा अवस्थित छन्, जुन पूर्वनिर्धारित रूपमा असक्षम पारिएको छ।

फेडोरा कोरओएस जस्ता समान वितरणहरूबाट मुख्य भिन्नता यो हो CentOSरेड ह्याट एटोमिक होस्ट मुख्यतया सम्भावित खतराहरू विरुद्ध प्रणाली सुरक्षा बढाएर, OS कम्पोनेन्टहरूमा कमजोरीहरूको शोषणलाई जटिल बनाएर, र कन्टेनर आइसोलेसन बढाएर अधिकतम सुरक्षा प्रदान गर्नमा केन्द्रित छ। कन्टेनरहरू नेटिभ कर्नेल संयन्त्रहरू प्रयोग गरेर सिर्जना गरिन्छन्। Linux — cgroups, namespaces, र seccomp। थप आइसोलेसनको लागि, वितरणले SE प्रयोग गर्दछ।Linux "प्रवर्तन" मोडमा।

मूल विभाजन पढ्न-मात्र माउन्ट गरिएको छ, र /etc सेटिङ विभाजन tmpfs मा माउन्ट गरिएको छ र पुन: सुरु पछि यसको मूल स्थितिमा पुनर्स्थापित हुन्छ। /etc डाइरेक्टरीमा फाइलहरूको प्रत्यक्ष परिमार्जन, जस्तै /etc/resolv.conf र /etc/containerd/config.toml, समर्थित छैन - सेटिङ्हरू स्थायी रूपमा बचत गर्न, तपाईंले API प्रयोग गर्नुपर्छ वा कार्यक्षमतालाई छुट्टै कन्टेनरहरूमा सार्नु पर्छ। dm-verity मोड्युल क्रिप्टोग्राफिक रूपमा रूट विभाजनको अखण्डता प्रमाणित गर्न प्रयोग गरिन्छ, र यदि ब्लक उपकरण स्तरमा डाटा परिमार्जन गर्ने प्रयास पत्ता लाग्यो भने, प्रणाली रिबुट हुन्छ।

धेरैजसो प्रणाली कम्पोनेन्टहरू Rust मा लेखिएका छन्, जसले मेमोरी-सुरक्षित सुविधाहरू प्रदान गर्दछ जसले गर्दा नि:शुल्क मेमोरी पहुँचहरू, नल पोइन्टर डिरेरेन्सेसहरू, र बफर ओभररनहरूबाट हुने जोखिमहरूबाट बच्न। पूर्वनिर्धारित रूपमा निर्माण गर्दा, संकलन मोडहरू "-enable-default-pie" र "-enable-default-ssp" लाई कार्यान्वयनयोग्य फाइल ठेगाना स्पेस (PIE) को अनियमितता र क्यानरी प्रतिस्थापन मार्फत स्ट्याक ओभरफ्लोहरू विरुद्ध सुरक्षा सक्षम गर्न प्रयोग गरिन्छ। C/C++ मा लेखिएका प्याकेजहरूको लागि, "-Wall", "-Werror=format-security", "-Wp,-D_FORTIFY_SOURCE=2", "-Wp,-D_GLIBCXX_ASSERTIONS" र "-fstack-clash" थप रूपमा छन्। सक्षम - सुरक्षा"।

नयाँ रिलीज मा:

• डकर र रनटाइम कन्टेनर उपकरणहरू (CVE-2021-41089, CVE-2021-41091, CVE-2021-41092, CVE-2021-41103) मा भएका कमजोरीहरू गलत तरिकाले पहुँच अधिकारहरू सेट गर्नेसँग सम्बन्धित छन्, जसले विशेषाधिकार नभएका प्रयोगकर्ताहरूलाई आधार निर्देशिकाभन्दा बाहिर जान र बाह्य कार्यक्रमहरू कार्यान्वयन गर्न अनुमति दियो।
• В kubelet и pluto добавлена IPv6 समर्थन.
• कन्टेनरको सेटिङहरू परिवर्तन गरेपछि पुन: सुरु गर्ने क्षमता प्रदान गरिएको छ।
• अमेजन EC2 M6i उदाहरणहरूलाई समर्थन गर्न eni-max-pods प्याकेज अद्यावधिक गरिएको छ।
• open-vm-tools ले अब Cilium टुलकिटमा आधारित उपकरण फिल्टरहरूलाई समर्थन गर्दछ।
• x86_64 प्लेटफर्मको लागि, हाइब्रिड बुट मोड (EFI र BIOS समर्थन सहित) लागू गरिएको छ।
• रस्ट भाषाको लागि प्याकेज संस्करणहरू र निर्भरताहरू अद्यावधिक गरियो।
• Kubernetes १.१७ मा आधारित aws-k8s-1.17 वितरण भेरियन्टको लागि समर्थन बन्द गरिएको छ। Kubernetes १.२१ लाई समर्थन गर्ने aws-k8s-1.21 भेरियन्ट प्रयोग गर्न सिफारिस गरिन्छ। k8s भेरियन्टहरूले cgroup runtime.slice र system.slice सेटिङहरू प्रयोग गर्छन्।

स्रोत: opennet.ru