{"id":101560,"date":"2021-10-07T10:23:00","date_gmt":"2021-10-07T08:23:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-bottlerocket-1-3-distributiva-na-baze-izolirovannyh-kontejnerov"},"modified":"2021-10-07T10:23:00","modified_gmt":"2021-10-07T08:23:00","slug":"vypusk-bottlerocket-1-3-distributiva-na-baze-izolirovannyh-kontejnerov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/vypusk-bottlerocket-1-3-distributiva-na-baze-izolirovannyh-kontejnerov","title":{"rendered":"Uitgave van Bottlerocket 1.3, een distributie gebaseerd op ge\u00efsoleerde containers","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

De uitgave van de Linux-distributie Bottlerocket 1.3.0 is gepubliceerd, ontwikkeld in samenwerking met Amazon voor een effici\u00ebnte en veilige uitvoering van ge\u00efsoleerde containers. De tools en beheerscomponenten van de distributie zijn geschreven in Rust en worden verspreid onder de MIT- en Apache 2.0-licenties. Bottlerocket ondersteunt uitvoeringen in Amazon ECS-clusters, VMware en AWS EKS Kubernetes, evenals het cre\u00ebren van willekeurige builds en edities, die verschillende orkestratietools en runtimes voor containers kunnen gebruiken. <\/p>\n

De distributie biedt een atomisch en automatisch bijgewerkt ononderbroken systeembestand dat de Linux-kernel en een minimale systeemomgeving omvat, met alleen de componenten die nodig zijn voor het draaien van containers. In de omgeving zijn de systeembeheerder systemd, de Glibc-bibliotheek, de buildtool Buildroot, de opstartloader GRUB, de netwerkinstellingen configurator wicked, de runtime voor ge\u00efsoleerde containers containerd, de containerorkestratieplatform Kubernetes, de authenticator aws-iam-authenticator en de Amazon ECS-agent betrokken. <\/p>\n

De tools voor containerorkestratie worden geleverd in een aparte beheerscontainer, die standaard is ingeschakeld en via de API en AWS SSM Agent wordt beheerd. De basisafbeelding heeft geen opdrachtregelinterface. server<\/a> SSH en ge\u00efnterpreteerde talen (zoals geen Python of Perl) \u2014 beheertools en debugging-tools zijn ondergebracht in een aparte servicecontainer, die standaard is uitgeschakeld. <\/p>\n

Het belangrijkste kenmerk in vergelijking met vergelijkbare distributies zoals Fedora CoreOS, CentOS\/Red Hat Atomic Host, is de primaire focus op het bieden van maximale veiligheid in de context van het versterken van de bescherming van het systeem tegen mogelijke bedreigingen, het bemoeilijken van het exploiteren van kwetsbaarheden in OS-componenten en het verhogen van de isolatie van containers. Containers worden gemaakt met behulp van de standaardmechanismen van de Linux-kernel \u2014 cgroups, namespaces en seccomp. Voor extra isolatie wordt SELinux in de mode 'enforcing' toegepast. <\/p>\n

De rootpartitie wordt gemonteerd in alleen-lezen modus, terwijl de configuratiemap \/etc wordt gemonteerd in tmpfs en de oorspronkelijke staat herstelt na een herstart. Directe wijzigingen aan bestanden in de map \/etc, zoals \/etc\/resolv.conf en \/etc\/containerd\/config.toml, worden niet ondersteund \u2014 voor permanente instelling van configuraties dient de API te worden gebruikt of functionaliteit in aparte containers te worden geplaatst. Voor cryptografische verificatie van de integriteit van de rootpartitie wordt de dm-verity-module ingeschakeld, en in het geval van een poging tot gegevensmodificatie op het niveau van het blokapparaat wordt het systeem opnieuw opgestart. <\/p>\n

De meeste systeemcomponenten zijn in Rust geschreven, wat middelen biedt voor veilige geheugentoegang, waardoor kwetsbaarheden worden vermeden die ontstaan door toegang tot geheugengebieden na vrijgave, dereferenceren van null-pointer en buffer-overflows. Bij de standaardcompilatie worden de compilatiemodi '--enable-default-pie' en '--enable-default-ssp' gebruikt om de adresrandomisatie van uitvoerbare bestanden (PIE) en bescherming tegen stack-overflows via canned-labeled substitutie in te schakelen. Voor pakketten die zijn geschreven in C\/C++, worden aanvullend de vlaggen '-Wall', '-Werror=format-security', '-Wp,-D_FORTIFY_SOURCE=2', '-Wp,-D_GLIBCXX_ASSERTIONS' en '-fstack-clash-protection' ingeschakeld. <\/p>\n

In de nieuwe release: <\/p>\n