ਬੋਟਲਰੋਕੇਟ 1.3 ਦੀ ਰਿਲੀਜ਼, ਅਲੱਗ-ਥਲੱਗ ਕੰਟੇਨਰਾਂ 'ਤੇ ਅਧਾਰਤ ਵੰਡ

ਲੀਨਕਸ ਡਿਸਟ੍ਰੀਬਿਊਸ਼ਨ ਬੋਟਲਰੋਕੇਟ 1.3.0 ਦੀ ਰਿਲੀਜ਼ ਪ੍ਰਕਾਸ਼ਿਤ ਕੀਤੀ ਗਈ ਹੈ, ਜੋ ਕਿ ਅਲੱਗ-ਥਲੱਗ ਕੰਟੇਨਰਾਂ ਦੇ ਕੁਸ਼ਲ ਅਤੇ ਸੁਰੱਖਿਅਤ ਲਾਂਚ ਲਈ ਐਮਾਜ਼ਾਨ ਦੀ ਭਾਗੀਦਾਰੀ ਨਾਲ ਵਿਕਸਤ ਕੀਤੀ ਗਈ ਹੈ। ਡਿਸਟ੍ਰੀਬਿਊਸ਼ਨ ਦੇ ਟੂਲ ਅਤੇ ਕੰਟਰੋਲ ਕੰਪੋਨੈਂਟ ਰਸਟ ਵਿੱਚ ਲਿਖੇ ਗਏ ਹਨ ਅਤੇ MIT ਅਤੇ Apache 2.0 ਲਾਇਸੰਸ ਦੇ ਤਹਿਤ ਵੰਡੇ ਗਏ ਹਨ। ਇਹ ਐਮਾਜ਼ਾਨ ECS, VMware ਅਤੇ AWS EKS Kubernetes ਕਲੱਸਟਰਾਂ 'ਤੇ ਬੋਟਲਰੋਕੇਟ ਨੂੰ ਚਲਾਉਣ ਦੇ ਨਾਲ-ਨਾਲ ਕਸਟਮ ਬਿਲਡ ਅਤੇ ਐਡੀਸ਼ਨ ਬਣਾਉਣ ਦਾ ਸਮਰਥਨ ਕਰਦਾ ਹੈ ਜੋ ਕੰਟੇਨਰਾਂ ਲਈ ਵੱਖ-ਵੱਖ ਆਰਕੈਸਟ੍ਰੇਸ਼ਨ ਅਤੇ ਰਨਟਾਈਮ ਟੂਲਸ ਦੀ ਵਰਤੋਂ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦੇ ਹਨ।

ਡਿਸਟ੍ਰੀਬਿਊਸ਼ਨ ਇੱਕ ਪ੍ਰਮਾਣੂ ਅਤੇ ਸਵੈਚਲਿਤ ਤੌਰ 'ਤੇ ਅੱਪਡੇਟ ਕੀਤੇ ਅਵਿਭਾਜਿਤ ਸਿਸਟਮ ਚਿੱਤਰ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ ਜਿਸ ਵਿੱਚ ਲੀਨਕਸ ਕਰਨਲ ਅਤੇ ਇੱਕ ਘੱਟੋ-ਘੱਟ ਸਿਸਟਮ ਵਾਤਾਵਰਨ ਸ਼ਾਮਲ ਹੁੰਦਾ ਹੈ, ਜਿਸ ਵਿੱਚ ਕੰਟੇਨਰਾਂ ਨੂੰ ਚਲਾਉਣ ਲਈ ਸਿਰਫ਼ ਲੋੜੀਂਦੇ ਹਿੱਸੇ ਸ਼ਾਮਲ ਹੁੰਦੇ ਹਨ। ਵਾਤਾਵਰਨ ਵਿੱਚ ਸਿਸਟਮਡ ਸਿਸਟਮ ਮੈਨੇਜਰ, Glibc ਲਾਇਬ੍ਰੇਰੀ, ਬਿਲਡਰੋਟ ਬਿਲਡ ਟੂਲ, GRUB ਬੂਟ ਲੋਡਰ, ਵਿੱਕਡ ਨੈੱਟਵਰਕ ਕੌਂਫਿਗਰੇਟਰ, ਆਈਸੋਲੇਟਿਡ ਕੰਟੇਨਰਾਂ ਲਈ ਕੰਟੇਨਰਡ ਰਨਟਾਈਮ, ਕੁਬਰਨੇਟਸ ਕੰਟੇਨਰ ਆਰਕੈਸਟ੍ਰੇਸ਼ਨ ਪਲੇਟਫਾਰਮ, aws-iam-ਪ੍ਰਮਾਣਿਕ, ਅਤੇ ਐਮਾਜ਼ਾਨ ਸ਼ਾਮਲ ਹਨ। ECS ਏਜੰਟ।

ਕੰਟੇਨਰ ਆਰਕੈਸਟ੍ਰੇਸ਼ਨ ਟੂਲ ਇੱਕ ਵੱਖਰੇ ਪ੍ਰਬੰਧਨ ਕੰਟੇਨਰ ਵਿੱਚ ਆਉਂਦੇ ਹਨ ਜੋ ਡਿਫੌਲਟ ਰੂਪ ਵਿੱਚ ਸਮਰੱਥ ਹੁੰਦਾ ਹੈ ਅਤੇ API ਅਤੇ AWS SSM ਏਜੰਟ ਦੁਆਰਾ ਪ੍ਰਬੰਧਿਤ ਹੁੰਦਾ ਹੈ। ਬੇਸ ਈਮੇਜ਼ ਵਿੱਚ ਕਮਾਂਡ ਸ਼ੈੱਲ, SSH ਸਰਵਰ ਅਤੇ ਅਨੁਵਾਦਿਤ ਭਾਸ਼ਾਵਾਂ ਦੀ ਘਾਟ ਹੈ (ਉਦਾਹਰਨ ਲਈ, ਕੋਈ ਪਾਇਥਨ ਜਾਂ ਪਰਲ ਨਹੀਂ) - ਪ੍ਰਬੰਧਕੀ ਟੂਲ ਅਤੇ ਡੀਬੱਗਿੰਗ ਟੂਲ ਇੱਕ ਵੱਖਰੇ ਸੇਵਾ ਕੰਟੇਨਰ ਵਿੱਚ ਰੱਖੇ ਗਏ ਹਨ, ਜੋ ਕਿ ਮੂਲ ਰੂਪ ਵਿੱਚ ਅਯੋਗ ਹੈ।

ਸਮਾਨ ਡਿਸਟਰੀਬਿਊਸ਼ਨਾਂ ਜਿਵੇਂ ਕਿ Fedora CoreOS, CentOS/Red Hat ਐਟੋਮਿਕ ਹੋਸਟ ਤੋਂ ਮੁੱਖ ਅੰਤਰ ਸੰਭਾਵੀ ਖਤਰਿਆਂ ਤੋਂ ਸਿਸਟਮ ਸੁਰੱਖਿਆ ਨੂੰ ਮਜ਼ਬੂਤ ​​ਕਰਨ ਦੇ ਸੰਦਰਭ ਵਿੱਚ ਵੱਧ ਤੋਂ ਵੱਧ ਸੁਰੱਖਿਆ ਪ੍ਰਦਾਨ ਕਰਨ 'ਤੇ ਮੁੱਖ ਫੋਕਸ ਹੈ, OS ਕੰਪੋਨੈਂਟਾਂ ਵਿੱਚ ਕਮਜ਼ੋਰੀਆਂ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਨਾ ਅਤੇ ਕੰਟੇਨਰ ਆਈਸੋਲੇਸ਼ਨ ਨੂੰ ਵਧਾਉਣਾ ਵਧੇਰੇ ਮੁਸ਼ਕਲ ਬਣਾਉਂਦਾ ਹੈ। . ਕੰਟੇਨਰ ਮਿਆਰੀ ਲੀਨਕਸ ਕਰਨਲ ਵਿਧੀ - cgroups, ਨੇਮਸਪੇਸ ਅਤੇ seccomp ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਬਣਾਏ ਜਾਂਦੇ ਹਨ। ਵਾਧੂ ਆਈਸੋਲੇਸ਼ਨ ਲਈ, ਡਿਸਟਰੀਬਿਊਸ਼ਨ "ਇਨਫੋਰਸਿੰਗ" ਮੋਡ ਵਿੱਚ SELinux ਦੀ ਵਰਤੋਂ ਕਰਦੀ ਹੈ।

ਰੂਟ ਭਾਗ ਨੂੰ ਸਿਰਫ਼-ਪੜ੍ਹਨ ਲਈ ਮਾਊਂਟ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਅਤੇ /etc ਸੈਟਿੰਗਾਂ ਭਾਗ ਨੂੰ tmpfs ਵਿੱਚ ਮਾਊਂਟ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਅਤੇ ਮੁੜ-ਚਾਲੂ ਹੋਣ ਤੋਂ ਬਾਅਦ ਇਸਦੀ ਅਸਲ ਸਥਿਤੀ ਵਿੱਚ ਮੁੜ ਪ੍ਰਾਪਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। /etc ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਫਾਇਲਾਂ ਦੀ ਸਿੱਧੀ ਸੋਧ, ਜਿਵੇਂ ਕਿ /etc/resolv.conf ਅਤੇ /etc/containerd/config.toml, ਸਮਰਥਿਤ ਨਹੀਂ ਹੈ - ਸੈਟਿੰਗਾਂ ਨੂੰ ਪੱਕੇ ਤੌਰ 'ਤੇ ਸੰਭਾਲਣ ਲਈ, ਤੁਹਾਨੂੰ API ਦੀ ਵਰਤੋਂ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ ਜਾਂ ਕਾਰਜਕੁਸ਼ਲਤਾ ਨੂੰ ਵੱਖਰੇ ਕੰਟੇਨਰਾਂ ਵਿੱਚ ਤਬਦੀਲ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ। dm-verity ਮੋਡੀਊਲ ਨੂੰ ਰੂਟ ਭਾਗ ਦੀ ਇਕਸਾਰਤਾ ਦੀ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਜਾਂਚ ਕਰਨ ਲਈ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਜੇਕਰ ਬਲਾਕ ਜੰਤਰ ਪੱਧਰ 'ਤੇ ਡੇਟਾ ਨੂੰ ਸੋਧਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਖੋਜੀ ਜਾਂਦੀ ਹੈ, ਤਾਂ ਸਿਸਟਮ ਰੀਬੂਟ ਹੋ ਜਾਂਦਾ ਹੈ।

ਜ਼ਿਆਦਾਤਰ ਸਿਸਟਮ ਕੰਪੋਨੈਂਟ ਰਸਟ ਵਿੱਚ ਲਿਖੇ ਗਏ ਹਨ, ਜੋ ਕਿ ਮੈਮੋਰੀ-ਸੁਰੱਖਿਅਤ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ ਤਾਂ ਜੋ ਬਾਅਦ ਵਿੱਚ ਮੁਫਤ ਮੈਮੋਰੀ ਐਕਸੈਸ, ਨਲ ਪੁਆਇੰਟਰ ਡੀਰੇਫਰੈਂਸ, ਅਤੇ ਬਫਰ ਓਵਰਰਨਸ ਕਾਰਨ ਹੋਣ ਵਾਲੀਆਂ ਕਮਜ਼ੋਰੀਆਂ ਤੋਂ ਬਚਿਆ ਜਾ ਸਕੇ। ਡਿਫੌਲਟ ਰੂਪ ਵਿੱਚ ਬਣਾਉਂਦੇ ਸਮੇਂ, ਕੰਪਾਈਲੇਸ਼ਨ ਮੋਡ "-enable-default-pie" ਅਤੇ "-enable-default-ssp" ਦੀ ਵਰਤੋਂ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲ ਐਡਰੈੱਸ ਸਪੇਸ (PIE) ਦੇ ਰੈਂਡਮਾਈਜ਼ੇਸ਼ਨ ਅਤੇ ਕੈਨਰੀ ਸਬਸਟੀਟਿਊਸ਼ਨ ਦੁਆਰਾ ਸਟੈਕ ਓਵਰਫਲੋਜ਼ ਤੋਂ ਸੁਰੱਖਿਆ ਨੂੰ ਸਮਰੱਥ ਕਰਨ ਲਈ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। C/C++ ਵਿੱਚ ਲਿਖੇ ਪੈਕੇਜਾਂ ਲਈ, ਫਲੈਗ “-Wall”, “-Werror=format-security”, “-Wp,-D_FORTIFY_SOURCE=2”, “-Wp,-D_GLIBCXX_ASSERTIONS” ਅਤੇ “-fstack-clash” ਵਾਧੂ ਹਨ। ਸਮਰਥਿਤ - ਸੁਰੱਖਿਆ"।

ਨਵੀਂ ਰੀਲੀਜ਼ ਵਿੱਚ:

• ਪਹੁੰਚ ਅਧਿਕਾਰਾਂ ਦੀ ਗਲਤ ਸੈਟਿੰਗ ਨਾਲ ਸਬੰਧਤ ਡੌਕਰ ਅਤੇ ਰਨਟਾਈਮ ਕੰਟੇਨਰਡ ਟੂਲਸ (CVE-2021-41089, CVE-2021-41091, CVE-2021-41092, CVE-2021-41103) ਵਿੱਚ ਸਥਿਰ ਕਮਜ਼ੋਰੀਆਂ, ਜਿਸ ਨਾਲ ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਗੈਰ-ਪ੍ਰਾਪਤ ਹੋਣ ਦੀ ਇਜਾਜ਼ਤ ਦਿੱਤੀ ਗਈ ਸੀ। ਡਾਇਰੈਕਟਰੀ ਅਤੇ ਬਾਹਰੀ ਪ੍ਰੋਗਰਾਮ ਚਲਾਓ.
• IPv6 ਸਹਿਯੋਗ ਨੂੰ ਕੁਬੇਲੇਟ ਅਤੇ ਪਲੂਟੋ ਵਿੱਚ ਜੋੜਿਆ ਗਿਆ ਹੈ।
• ਇਸ ਦੀਆਂ ਸੈਟਿੰਗਾਂ ਨੂੰ ਬਦਲਣ ਤੋਂ ਬਾਅਦ ਕੰਟੇਨਰ ਨੂੰ ਮੁੜ ਚਾਲੂ ਕਰਨਾ ਸੰਭਵ ਹੈ.
• ਐਮਾਜ਼ਾਨ EC2 M6i ਉਦਾਹਰਨਾਂ ਲਈ ਸਮਰਥਨ eni-max-pods ਪੈਕੇਜ ਵਿੱਚ ਜੋੜਿਆ ਗਿਆ ਹੈ।
• Open-vm-tools ਨੇ Cilium ਟੂਲਕਿੱਟ ਦੇ ਆਧਾਰ 'ਤੇ ਜੰਤਰ ਫਿਲਟਰਾਂ ਲਈ ਸਹਿਯੋਗ ਜੋੜਿਆ ਹੈ।
• x86_64 ਪਲੇਟਫਾਰਮ ਲਈ, ਇੱਕ ਹਾਈਬ੍ਰਿਡ ਬੂਟ ਮੋਡ ਲਾਗੂ ਕੀਤਾ ਗਿਆ ਹੈ (EFI ਅਤੇ BIOS ਲਈ ਸਹਿਯੋਗ ਨਾਲ)।
• ਜੰਗਾਲ ਭਾਸ਼ਾ ਲਈ ਅੱਪਡੇਟ ਕੀਤੇ ਪੈਕੇਜ ਸੰਸਕਰਣ ਅਤੇ ਨਿਰਭਰਤਾ।
• ਕੁਬਰਨੇਟਸ 8 'ਤੇ ਆਧਾਰਿਤ ਡਿਸਟਰੀਬਿਊਸ਼ਨ ਵੇਰੀਐਂਟ aws-k1.17s-1.17 ਲਈ ਸਮਰਥਨ ਬੰਦ ਕਰ ਦਿੱਤਾ ਗਿਆ ਹੈ। ਕੁਬਰਨੇਟਸ 8 ਦੇ ਸਮਰਥਨ ਨਾਲ aws-k1.21s-1.21 ਵਰਜਨ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੀ ਸਿਫਾਰਸ਼ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। k8s ਵੇਰੀਐਂਟ cgroup runtime.slice ਅਤੇ system.slice ਸੈਟਿੰਗਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ।

ਸਰੋਤ: opennet.ru