Firma Microsoft opublikowała osiągnięcia związane z dystrybucją Azure Linux 4, która w porównaniu do wersji 3.0 została znacznie przekształcona i przeszła z własnej bazy pakietów na wykorzystanie pakietów dystrybucji Fedora 43. Jeśli wcześniej Azure Linux był promowany jako platforma dla środowisk Linux wykorzystywanych w infrastrukturze chmurowej, systemach edge oraz różnych usługach Microsoft, to teraz Azure Linux jest przedstawiany jako bezpieczny i niezawodny system operacyjny ogólnego przeznaczenia, zoptymalizowany pod kątem chmury Azure, który można używać w maszynach wirtualnych, kontenerach, środowisku WSL (Windows Subsystem Linux) oraz jako główny system operacyjny na komputerach.
Wersja Azure Linux 4 jest oznaczona jako w trakcie rozwoju. Dla produkcyjnych wdrożeń zaleca się korzystanie z wersji Azure Linux 3. Gotowe kompilacje na razie nie są dostępne, ale istnieje instrukcja dotycząca budowy. Specyficzne dla dystrybucji zmiany są dostarczane na licencji MIT.
Przy tworzeniu dystrybucji zamiast tworzenia forka Fedora w Azure Linux 4 zastosowano podejście deklaratywne, które pozwala na ponowne budowanie pakietów RPM z niezbędnymi zmianami i konfiguracjami z oficjalnych repozytoriów Fedora, korzystając z plików konfiguracyjnych w formacie TOML. Dodatkowa funkcjonalność jest określona w formie nakładek, które umożliwiają generowanie specyficznych dla Azure Linux spec-plików pakietów na podstawie standardowych SRPM-pakietów z Fedora Linux. Nakładki określają zmiany wprowadzone na pakietach Fedora, takie jak dodatkowe konstrukcje w spec-plikach, łatki i parametry budowy.
Jednostką pakietową w Azure Linux 4 są „komponenty” (pakiet źródłowy), które w dużej mierze są importowane z Fedory przez dist-git i mogą tworzyć jeden lub więcej pakietów RPM. Wszystkie komponenty są budowane ze źródła, pakiety binarne z Fedory nie są przenoszone. Do generacji wynikowych pakietów RPM na podstawie nakładek wykorzystuje się narzędzie azldev, napisane w języku Go i dostarczane na licencji MIT.
Wśród cech Azure Linux 4 wyróżnia się dostarczenie jądra Linux z dodatkowymi optymalizacjami, ochrona przed atakami związanymi z zależnościami, przewidywalny cykl wsparcia i wydawania aktualizacji, wbudowane możliwości integracji z chmurą Azure oraz zmiany mające na celu zwiększenie bezpieczeństwa. System budowy Azure Linux umożliwia generowanie zarówno środowisk instalacyjnych z pakietami RPM, jak i monolitycznych obrazów systemowych, które są tworzone za pomocą narzędzi rpm-ostree i aktualizowane atomowo bez rozdzielania na pojedyncze pakiety. Obsługiwane są dwie modele dostarczania aktualizacji: przez aktualizację pojedynczych pakietów oraz przez przebudowę i aktualizację całego obrazu systemowego.
Z zastosowanych w Azure Linux środków zwiększających bezpieczeństwo:
- Filtrowanie wywołań systemowych za pomocą mechanizmu seccomp.
- Szyfrowanie partycji dyskowych.
- Weryfikacja pakietów na podstawie podpisu cyfrowego.
- Randomizacja przestrzeni adresowej.
- Ochrona przed atakami związanymi z dowiązaniami symbolicznymi, mmap, /dev/mem oraz /dev/kmem.
- Tryb tylko do odczytu oraz zakaz wykonywania kodu w obszarach pamięci, w których znajdują się segmenty z danymi jądra i modułów.
- Opcja zakazu ładowania modułów jądra po inicjalizacji systemu.
- Włączenie podczas budowy trybów ochrony przed przepełnieniem stosu, przepełnieniem bufora oraz problemami z formatowaniem ciągów (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro).
- Dostarczanie minimalnie niezbędnych pakietów, bez aktywacji zbędnych usług.
Źródło: opennet.ru
