{"id":104359,"date":"2022-06-12T09:36:41","date_gmt":"2022-06-12T07:36:41","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/dostupen-bottlerocket-1-8-distributiv-na-baze-izolirovannyh-kontejnerov"},"modified":"2022-06-12T09:36:41","modified_gmt":"2022-06-12T07:36:41","slug":"dostupen-bottlerocket-1-8-distributiv-na-baze-izolirovannyh-kontejnerov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/dostupen-bottlerocket-1-8-distributiv-na-baze-izolirovannyh-kontejnerov","title":{"rendered":"Dost\u0119pna jest wersja Bottlerocket 1.8, dystrybucja oparta na zdalnych kontenerach","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Opublikowano wydanie dystrybucji Linuksa Bottlerocket 1.8.0, rozwijanej przy udziale firmy Amazon w celu efektywnego i bezpiecznego uruchamiania zdalnych kontener\u00f3w. Narz\u0119dzia i komponenty zarz\u0105dzaj\u0105ce dystrybucji s\u0105 napisane w j\u0119zyku Rust i rozpowszechniane na podstawach licencji MIT oraz Apache 2.0. Obs\u0142ugiwane jest uruchamianie Bottlerocket w klastrach Amazon ECS, VMware oraz AWS EKS Kubernetes, a tak\u017ce tworzenie dowolnych kompilacji i edycji, kt\u00f3re mog\u0105 korzysta\u0107 z r\u00f3\u017cnych narz\u0119dzi orkiestracji i runtime dla kontener\u00f3w. <\/p>\n

Dystrybucja zapewnia atomowy i automatycznie aktualizowany nierozdzielny obraz systemowy, kt\u00f3ry obejmuje j\u0105dro Linux i minimalne \u015brodowisko systemowe, zawieraj\u0105ce tylko komponenty niezb\u0119dne do uruchamiania kontener\u00f3w. W \u015brodowisku u\u017cywany jest mened\u017cer systemowy systemd, biblioteka Glibc, narz\u0119dzie do budowy Buildroot, bootloader GRUB, konfigurator sieci wicked, runtime dla izolowanych kontener\u00f3w containerd, platforma orkiestracyjna Kubernetes, uwierzytelniacz aws-iam-authenticator i agent Amazon ECS. <\/p>\n

Narz\u0119dzia do orkiestracji kontener\u00f3w s\u0105 dostarczane w osobnym kontenerze zarz\u0105dzaj\u0105cym, kt\u00f3ry jest w\u0142\u0105czony domy\u015blnie i zarz\u0105dzany przez API oraz AWS SSM Agent. W podstawowym obrazie brakuje pow\u0142oki polece\u0144, serwer<\/a> SSH i interpretowane j\u0119zyki (na przyk\u0142ad, brak Pythona lub Perla) \u2014 narz\u0119dzia dla administrator\u00f3w oraz narz\u0119dzia debuguj\u0105ce zosta\u0142y wydzielone do oddzielnego kontenera, kt\u00f3ry domy\u015blnie jest wy\u0142\u0105czony. <\/p>\n

Kluczow\u0105 r\u00f3\u017cnic\u0105 w por\u00f3wnaniu do podobnych dystrybucji, takich jak Fedora CoreOS czy CentOS\/Red Hat Atomic Host, jest g\u0142\u00f3wna orientacja na zapewnienie maksymalnego bezpiecze\u0144stwa w kontek\u015bcie wzmacniania ochrony systemu przed potencjalnymi zagro\u017ceniami, komplikowania eksploatacji luk w komponentach OS oraz zwi\u0119kszania izolacji kontener\u00f3w. Kontenery s\u0105 tworzone przy u\u017cyciu standardowych mechanizm\u00f3w j\u0105dra Linux \u2014 cgroups, przestrzeni nazw oraz seccomp. Do dodatkowej izolacji w dystrybucji wykorzystywany jest SELinux w trybie \u201eenforcing\u201d. <\/p>\n

Katalog g\u0142\u00f3wny jest montowany w trybie tylko do odczytu, a katalog z ustawieniami \/etc jest montowany w tmpfs i przywraca pierwotny stan po restarcie. Bezpo\u015brednia modyfikacja plik\u00f3w w katalogu \/etc, takich jak \/etc\/resolv.conf i \/etc\/containerd\/config.toml, nie jest wspierana \u2014 do trwa\u0142ego zachowania ustawie\u0144 nale\u017cy u\u017cywa\u0107 API lub wydziela\u0107 funkcjonalno\u015b\u0107 do oddzielnych kontener\u00f3w. Do kryptograficznej weryfikacji integralno\u015bci katalogu g\u0142\u00f3wnego u\u017cywany jest modu\u0142 dm-verity, a w przypadku wykrycia pr\u00f3by modyfikacji danych na poziomie urz\u0105dzenia blokowego system jest restartowany. <\/p>\n

Wi\u0119kszo\u015b\u0107 komponent\u00f3w systemowych jest napisana w j\u0119zyku Rust, kt\u00f3ry zapewnia \u015brodki do bezpiecznej pracy z pami\u0119ci\u0105, co pozwala unikn\u0105\u0107 luk zwi\u0105zanych z dost\u0119pem do pami\u0119ci po jej zwolnieniu, dereferencj\u0105 wska\u017anik\u00f3w null oraz wyj\u015bciem poza granice bufora. Podczas kompilacji domy\u015blnie stosowane s\u0105 opcje kompilacji \u201e\u2014enable-default-pie\u201d oraz \u201e\u2014enable-default-ssp\u201d w celu w\u0142\u0105czenia randomizacji adres\u00f3w przestrzeni wykonywalnych (PIE) oraz ochrony przed przepe\u0142nieniem stosu poprzez podstawienie etykiet kanarowych. Dla pakiet\u00f3w napisanych w j\u0119zyku C\/C++ dodatkowo w\u0142\u0105czane s\u0105 flagi \u201e-Wall\u201d, \u201e-Werror=format-security\u201d, \u201e-Wp,-D_FORTIFY_SOURCE=2\u201d, \u201e-Wp,-D_GLIBCXX_ASSERTIONS\u201d oraz \u201e-fstack-clash-protection\u201d. <\/p>\n

W nowym wydaniu: <\/p>\n