Firma Microsoft opublikowała wydanie dystrybucji CBL-Mariner 1.0 (Common Base Linux Mariner), która została oznaczona jako pierwsza stabilna wersja projektu. Dystrybucja CBL-Mariner rozwija się jako uniwersalna podstawowa platforma dla środowisk Linux, używanych w infrastrukturze chmurowej, systemach edge i różnych usługach Microsoft. Projekt ma na celu ujednolicenie rozwiązań Linux stosowanych w Microsoft i uproszczenie utrzymania systemów Linux różnego przeznaczenia w aktualnym stanie. Wyniki projektu są udostępniane na licencji MIT.
Dystrybucja dostarcza mały, standardowy zestaw podstawowych pakietów, które stanowią uniwersalną bazę do tworzenia zawartości kontenerów, środowisk hostów i usług uruchamianych w infrastrukturze chmurowej oraz na urządzeniach edge. Bardziej złożone i wyspecjalizowane rozwiązania mogą być tworzone poprzez dodawanie dodatkowych pakietów na bazie CBL-Mariner, ale fundament dla wszystkich podobnych systemów pozostaje niezmienny, co upraszcza utrzymanie i przygotowanie aktualizacji.
Na przykład CBL-Mariner jest używany jako baza dla mini-dystrybucji WSLg, w której dostarczane są komponenty stosu graficznego do uruchamiania aplikacji GUI Linux w środowiskach opartych na subsystemie WSL2 (Windows Subsystem for Linux). Podstawa tej dystrybucji jest niezmienna, a rozszerzona funkcjonalność realizowana jest poprzez dodanie dodatkowych pakietów z kompozytem. serwerem Weston, XWayland, PulseAudio i FreeRDP.
System budowy CBL-Mariner pozwala generować zarówno pojedyncze pakiety RPM na podstawie plików SPEC i źródeł, jak i monolityczne obrazy systemowe, tworzone za pomocą narzędzi rpm-ostree i aktualizowane atomowo bez rozdzielania na pojedyncze pakiety. Odpowiednio wspierane są dwa modele dostarczania aktualizacji: przez aktualizację pojedynczych pakietów oraz przez przebudowę i aktualizację całego obrazu systemu. Dystrybucja zawiera tylko niezbędne komponenty i jest zoptymalizowana pod kątem minimalnego zużycia pamięci i przestrzeni dyskowej, a także dla wysokiej prędkości uruchamiania. Dystrybucja wyróżnia się również dodaniem różnych mechanizmów dodatkowych w celu zwiększenia bezpieczeństwa.
W projekcie zastosowano podejście „maksymalne bezpieczeństwo domyślne”. Umożliwiono filtrowanie wywołań systemowych za pomocą mechanizmu seccomp, szyfrowanie partycji dyskowych oraz weryfikację pakietów za pomocą podpisów cyfrowych. Na etapie budowy domyślnie włączono tryby ochrony przed przepełnieniem stosu, przepełnieniem bufora i problemami z formatowaniem ciągów (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro). Aktywowano wspierane w jądrze Linux tryby randomizacji przestrzeni adresowej, a także mechanizmy ochrony przed atakami związanymi z symbolicznymi linkami, mmap, /dev/mem oraz /dev/kmem. Dla obszarów pamięci, w których znajdują się segmenty z danymi jądra i modułów, ustanowiono tryb tylko do odczytu i zabroniono wykonywania kodu. Opcjonalnie dostępna jest możliwość zakazu ładowania modułów jądra po zainicjowaniu systemu. Do filtrowania pakietów sieciowych wykorzystano narzędzia iptables.
Готовые ISO-образы не предоставляются. Подразумевается, что пользователь может сам создать образ с необходимой начинкой (cборочные инструкции предоставлены для Ubuntu 18.04). Доступен репозиторий с уже собранными RPM-пакетами, который можно использовать для компоновки собственных образов на основе файла конфигурации. В репозитории предложено около 3300 пакетов. Например, для сборки полного iso-образа достаточно выполнить: git clone https://github.com/microsoft/CBL-Mariner.git cd CBL-Mariner/toolkit sudo make iso REBUILD_TOOLS=y REBUILD_PACKAGES=n CONFIG_FILE=./imageconfigs/full.json
Do zarządzania usługami i rozruchem zastosowano systemowy menedżer systemd. Do zarządzania pakietami dostarczane są menedżery pakietów RPM i DNF (wersja tdnf od vmWare). Serwer SSH domyślnie nie jest włączany. W celu instalacji dystrybucji dostępny jest instalator, który może działać zarówno w trybie tekstowym, jak i graficznym. W instalatorze oferowana jest możliwość instalacji z pełnym lub podstawowym zestawem pakietów, a także interfejs do wyboru partycji dyskowej, wyboru nazwy hosta i tworzenia użytkowników.
Źródło: opennet.ru
