Release van Bottlerocket 1.2, een distributie op basis van geïsoleerde containers

De release van de Linux-distributie Bottlerocket 1.2.0 is beschikbaar, ontwikkeld met de medewerking van Amazon voor een efficiënte en veilige uitvoering van geïsoleerde containers. De tools en beheerscomponenten van de distributie zijn geschreven in Rust en worden verspreid onder de MIT- en Apache 2.0-licenties. Bottlerocket kan worden uitgevoerd in Amazon ECS-clusters, VMware en AWS EKS Kubernetes, en ondersteunt het maken van aangepaste builds en edities die verschillende orkestratietools en runtimes voor containers toestaan.

De distributie biedt een atomisch en automatisch bijgewerkt ononderbroken systeembestand dat de Linux-kernel en een minimale systeemomgeving omvat, met alleen de componenten die nodig zijn voor het draaien van containers. In de omgeving zijn de systeembeheerder systemd, de Glibc-bibliotheek, de buildtool Buildroot, de opstartloader GRUB, de netwerkinstellingen configurator wicked, de runtime voor geïsoleerde containers containerd, de containerorkestratieplatform Kubernetes, de authenticator aws-iam-authenticator en de Amazon ECS-agent betrokken.

De tools voor containerorkestratie worden geleverd in een aparte beheerscontainer, die standaard is ingeschakeld en via de API en AWS SSM Agent wordt beheerd. De basisafbeelding heeft geen opdrachtregelinterface. server SSH en geïnterpreteerde talen (bijvoorbeeld geen Python of Perl) - hulpmiddelen voor de beheerder en foutopsporingstools zijn in een aparte hulpprogrammacontainer geplaatst, die standaard is uitgeschakeld.

Het belangrijkste verschil met soortgelijke distributies, zoals Fedora CoreOS, CentOS/Red Hat Atomic Host, is de primaire focus op het bieden van maximale beveiliging in het kader van het versterken van de systeembeveiliging tegen mogelijke bedreigingen, het bemoeilijken van het exploiteren van kwetsbaarheden in OS-componenten en het verhogen van de isolatie van containers. Containers worden gemaakt met behulp van de ingebouwde mechanismen van de Linux-kernel - cgroups, namespaces en seccomp. Voor extra isolatie wordt SELinux in de ‘enforcing’-modus in de distributie toegepast.

De rootpartitie wordt gemonteerd in alleen-lezen modus, terwijl de instellingenpartitie /etc wordt gemonteerd in tmpfs en de oorspronkelijke status herstelt na herstart. Directe wijziging van bestanden in de map /etc, zoals /etc/resolv.conf en /etc/containerd/config.toml, wordt niet ondersteund — voor het permanent opslaan van instellingen dient de API te worden gebruikt of functionaliteit in aparte containers te worden geplaatst. Voor cryptografische verificatie van de integriteit van de rootpartitie wordt de dm-verity-module ingeschakeld, en bij detectie van pogingen om gegevens op het niveau van het blokapparaat te wijzigen, wordt het systeem opnieuw opgestart.

De meeste systeemelementen zijn geschreven in Rust, dat middelen biedt voor veilige geheugentoegang, waardoor kwetsbaarheden door toegang tot vrijgegeven geheugengebieden, dereferencen van null-pointers en buffer-overflows worden voorkomen. Bij de standaardcompilatie worden de compilatiemodi ‘—enable-default-pie’ en ‘—enable-default-ssp’ toegepast om adresrandomisatie van uitvoerbare bestanden (PIE) en bescherming tegen stack-overflows via canary-tags in te schakelen. Voor pakketten geschreven in C/C++ worden bovendien de flags ‘-Wall’, ‘-Werror=format-security’, ‘-Wp,-D_FORTIFY_SOURCE=2’, ‘-Wp,-D_GLIBCXX_ASSERTIONS’ en ‘-fstack-clash-protection’ ingeschakeld.

In de nieuwe release:

• Ondersteuning voor container image registry mirrors is toegevoegd.
• De mogelijkheid om self-signed certificaten te gebruiken is toegevoegd.
• Een parameter voor het instellen van de hostnaam is toegevoegd.
• De versie van de standaard aangeboden beheercontainer is geüpdatet.
• De instellingen topologyManagerPolicy en topologyManagerScope zijn toegevoegd voor kubelet.
• Ondersteuning voor kerncompressie met het zstd-algoritme is toegevoegd.
• De mogelijkheid tot opstarten in VMware is beschikbaar gesteld. virtuele machines in OVA (Open Virtualization Format) formaat.
• De variant van de distributie aws-k8s-1.21 is bijgewerkt met ondersteuning voor Kubernetes 1.21. Ondersteuning voor aws-k8s-1.16 is beëindigd.
• Versies van pakketten en afhankelijkheden voor de taal Rust zijn bijgewerkt.

Bron: opennet.ru