Firma Microsoft opublikowa\u0142a pierwsz\u0105 stabiln\u0105 wersj\u0119 nowej ga\u0142\u0119zi dystrybucji CBL-Mariner 2.0 (Common Base Linux Mariner), kt\u00f3ra rozwija si\u0119 jako uniwersalna podstawowa platforma dla \u015brodowisk Linux stosowanych w infrastrukturze chmurowej, systemach edge oraz r\u00f3\u017cnych us\u0142ugach Microsoft. Projekt ma na celu ujednolicenie zastosowa\u0144 rozwi\u0105za\u0144 Linux w Microsoft i uproszczenie utrzymania system\u00f3w Linux o r\u00f3\u017cnych zastosowaniach w aktualnym stanie. Osi\u0105gni\u0119cia projektu s\u0105 rozpowszechniane na licencji MIT. Pakiety s\u0105 tworzone dla architektur aarch64 i x86_64. <\/p>\n
Nowe wydanie wyr\u00f3\u017cnia si\u0119 znaczn\u0105 aktualizacj\u0105 wersji oprogramowania. W tym zaktualizowano wersje j\u0105dra Linux do 5.15 (w ga\u0142\u0119zi 1.0 zastosowano j\u0105dro 5.4), systemd 250, glibc 2.35, GCC 11.2, clang 12, Python 3.9, ruby 3.1.2, rpm 4.17, qemu 6.1, perl 5.34, ostree 2022.1. W podstawowym repozytorium zawarte s\u0105 komponenty do budowy graficznego interfejsu, takie jak Wayland 1.20, Mesa 21.0, GTK 3.24 i X.Org Server 1.20.10, kt\u00f3re wcze\u015bniej by\u0142y dostarczane w oddzielnym repozytorium coreui. Dodano wersje j\u0105dra z \u0142atkami PREEMPT_RT do zastosowania w systemach dzia\u0142aj\u0105cych w trybie czasu rzeczywistego. <\/p>\n
Dystrybucja CBL-Mariner dostarcza niewielki zestaw podstawowych pakiet\u00f3w, kt\u00f3re stanowi\u0105 uniwersaln\u0105 podstaw\u0119 do tworzenia zawarto\u015bci kontener\u00f3w, \u015brodowisk hostuj\u0105cych oraz us\u0142ug uruchamianych w infrastrukturach chmurowych i na urz\u0105dzeniach edge. Bardziej z\u0142o\u017cone i wyspecjalizowane rozwi\u0105zania mog\u0105 by\u0107 tworzone poprzez dodawanie dodatkowych pakiet\u00f3w na CBL-Mariner, ale baza dla wszystkich takich system\u00f3w pozostaje niezmienna, co upraszcza utrzymanie i przygotowanie aktualizacji. Na przyk\u0142ad, CBL-Mariner jest stosowany jako podstawa mini-dystrybucji WSLg, w kt\u00f3rej dostarczane s\u0105 komponenty stosu graficznego do uruchamiania aplikacji GUI Linux w \u015brodowiskach opartych na subsystemie WSL2 (Windows Subsystem for Linux). Rozszerzona funkcjonalno\u015b\u0107 w WSLg realizowana jest poprzez w\u0142\u0105czenie dodatkowych pakiet\u00f3w z kompozytem. serwerem<\/a> Weston, XWayland, PulseAudio i FreeRDP. <\/p>\n System CBL-Mariner umo\u017cliwia generowanie zar\u00f3wno pojedynczych pakiet\u00f3w RPM na podstawie plik\u00f3w SPEC i kodu \u017ar\u00f3d\u0142owego, jak i monolitycznych obraz\u00f3w systemowych, kt\u00f3re s\u0105 tworzone za pomoc\u0105 narz\u0119dzi rpm-ostree i aktualizowane atomowo bez rozdzielania na pojedyncze pakiety. W zwi\u0105zku z tym wspierane s\u0105 dwie modele dostarczania aktualizacji: poprzez aktualizacj\u0119 pojedynczych pakiet\u00f3w oraz poprzez rekonstrukcj\u0119 i aktualizacj\u0119 ca\u0142ego obrazu systemowego. Dost\u0119pne s\u0105 repozytorium obejmuj\u0105ce oko\u0142o 3000 ju\u017c zbudowanych pakiet\u00f3w RPM, kt\u00f3re mo\u017cna wykorzysta\u0107 do komponowania w\u0142asnych obraz\u00f3w na podstawie pliku konfiguracyjnego. <\/p>\n Dystrybucja zawiera tylko najwa\u017cniejsze komponenty i jest zoptymalizowana pod k\u0105tem minimalnego zu\u017cycia pami\u0119ci i przestrzeni dyskowej, a tak\u017ce wysokiej pr\u0119dko\u015bci uruchamiania. Dystrybucja wyr\u00f3\u017cnia si\u0119 tak\u017ce w\u0142\u0105czeniem r\u00f3\u017cnych dodatkowych mechanizm\u00f3w zwi\u0119kszaj\u0105cych bezpiecze\u0144stwo. W projekcie zastosowano podej\u015bcie «maksymalne bezpiecze\u0144stwo w domy\u015blnych ustawieniach». Zapewniona jest mo\u017cliwo\u015b\u0107 filtrowania wywo\u0142a\u0144 systemowych za pomoc\u0105 mechanizmu seccomp, szyfrowania partycji dyskowych oraz weryfikacji pakiet\u00f3w za pomoc\u0105 podpisu cyfrowego. <\/p>\n Aktywowane s\u0105 wspierane w j\u0105drze Linux tryby randomizacji przestrzeni adresowej, a tak\u017ce mechanizmy ochrony przed atakami zwi\u0105zanymi z symlinkami, mmap, \/dev\/mem i \/dev\/kmem. Dla obszar\u00f3w pami\u0119ci, w kt\u00f3rych umieszczane s\u0105 segmenty z danymi j\u0105dra i modu\u0142\u00f3w, ustawiony jest tryb tylko do odczytu i zabronione jest wykonanie kodu. Opcjonalnie dost\u0119pna jest mo\u017cliwo\u015b\u0107 zakazu \u0142adowania modu\u0142\u00f3w j\u0105dra po inicjalizacji systemu. Do filtracji pakiet\u00f3w sieciowych wykorzystywane s\u0105 narz\u0119dzia iptables. Na etapie budowy domy\u015blnie w\u0142\u0105czone s\u0105 tryby ochrony przed przepe\u0142nieniem stosu, przepe\u0142nieniem bufora oraz problemami z formatowaniem napis\u00f3w (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro). <\/p>\n