Udost\u0119pniono wydanie dystrybucji Linux Bottlerocket 1.1.0, rozwijanej przy udziale firmy Amazon z my\u015bl\u0105 o wydajnym i bezpiecznym uruchamianiu odizolowanych kontener\u00f3w. Narz\u0119dzia i komponenty zarz\u0105dzaj\u0105ce dystrybucj\u0105 s\u0105 napisane w j\u0119zyku Rust i rozpowszechniane na licencjach MIT oraz Apache 2.0. Obs\u0142ugiwane jest uruchamianie Bottlerocket w klastrach Amazon ECS i AWS EKS Kubernetes, a tak\u017ce tworzenie w\u0142asnych kompilacji i edycji, kt\u00f3re pozwalaj\u0105 na u\u017cycie r\u00f3\u017cnych narz\u0119dzi orkiestracji i runtime dla kontener\u00f3w. <\/p>\n
Dystrybucja zapewnia atomowy i automatycznie aktualizowany nierozdzielny obraz systemowy, kt\u00f3ry obejmuje j\u0105dro Linux i minimalne \u015brodowisko systemowe, zawieraj\u0105ce tylko komponenty niezb\u0119dne do uruchamiania kontener\u00f3w. W \u015brodowisku u\u017cywany jest mened\u017cer systemowy systemd, biblioteka Glibc, narz\u0119dzie do budowy Buildroot, bootloader GRUB, konfigurator sieci wicked, runtime dla izolowanych kontener\u00f3w containerd, platforma orkiestracyjna Kubernetes, uwierzytelniacz aws-iam-authenticator i agent Amazon ECS. <\/p>\n
Narz\u0119dzia do orkiestracji kontener\u00f3w s\u0105 dostarczane w osobnym kontenerze zarz\u0105dzaj\u0105cym, kt\u00f3ry jest w\u0142\u0105czony domy\u015blnie i zarz\u0105dzany przez API oraz AWS SSM Agent. W podstawowym obrazie brakuje pow\u0142oki polece\u0144, serwer<\/a> SSH i interpretowane j\u0119zyki (na przyk\u0142ad, brak Pythona lub Perla) \u2014 narz\u0119dzia dla administrator\u00f3w oraz narz\u0119dzia debuguj\u0105ce zosta\u0142y wydzielone do oddzielnego kontenera, kt\u00f3ry domy\u015blnie jest wy\u0142\u0105czony. <\/p>\n Kluczow\u0105 r\u00f3\u017cnic\u0105 w por\u00f3wnaniu do podobnych dystrybucji, takich jak Fedora CoreOS czy CentOS\/Red Hat Atomic Host, jest g\u0142\u00f3wna orientacja na zapewnienie maksymalnego bezpiecze\u0144stwa w kontek\u015bcie wzmacniania ochrony systemu przed potencjalnymi zagro\u017ceniami, komplikowania eksploatacji luk w komponentach OS oraz zwi\u0119kszania izolacji kontener\u00f3w. Kontenery s\u0105 tworzone przy u\u017cyciu standardowych mechanizm\u00f3w j\u0105dra Linux \u2014 cgroups, przestrzeni nazw oraz seccomp. Do dodatkowej izolacji w dystrybucji wykorzystywany jest SELinux w trybie \u201eenforcing\u201d. <\/p>\n Katalog g\u0142\u00f3wny jest montowany w trybie tylko do odczytu, a katalog z ustawieniami \/etc jest montowany w tmpfs i przywraca pierwotny stan po restarcie. Bezpo\u015brednia modyfikacja plik\u00f3w w katalogu \/etc, takich jak \/etc\/resolv.conf i \/etc\/containerd\/config.toml, nie jest wspierana \u2014 do trwa\u0142ego zachowania ustawie\u0144 nale\u017cy u\u017cywa\u0107 API lub wydziela\u0107 funkcjonalno\u015b\u0107 do oddzielnych kontener\u00f3w. Do kryptograficznej weryfikacji integralno\u015bci katalogu g\u0142\u00f3wnego u\u017cywany jest modu\u0142 dm-verity, a w przypadku wykrycia pr\u00f3by modyfikacji danych na poziomie urz\u0105dzenia blokowego system jest restartowany. <\/p>\n Wi\u0119kszo\u015b\u0107 komponent\u00f3w systemowych jest napisana w j\u0119zyku Rust, kt\u00f3ry zapewnia \u015brodki do bezpiecznej pracy z pami\u0119ci\u0105, co pozwala unikn\u0105\u0107 luk zwi\u0105zanych z dost\u0119pem do pami\u0119ci po jej zwolnieniu, dereferencj\u0105 wska\u017anik\u00f3w null oraz wyj\u015bciem poza granice bufora. Podczas kompilacji domy\u015blnie stosowane s\u0105 opcje kompilacji \u201e\u2014enable-default-pie\u201d oraz \u201e\u2014enable-default-ssp\u201d w celu w\u0142\u0105czenia randomizacji adres\u00f3w przestrzeni wykonywalnych (PIE) oraz ochrony przed przepe\u0142nieniem stosu poprzez podstawienie etykiet kanarowych. Dla pakiet\u00f3w napisanych w j\u0119zyku C\/C++ dodatkowo w\u0142\u0105czane s\u0105 flagi \u201e-Wall\u201d, \u201e-Werror=format-security\u201d, \u201e-Wp,-D_FORTIFY_SOURCE=2\u201d, \u201e-Wp,-D_GLIBCXX_ASSERTIONS\u201d oraz \u201e-fstack-clash-protection\u201d. <\/p>\n W nowym wydaniu: <\/p>\n\n