Está disponível a versão 1.2.0 da distribuição Linux Bottlerocket, desenvolvida em colaboração com a Amazon para o lançamento eficiente e seguro de contêineres isolados. As ferramentas e os componentes de gerenciamento da distribuição são escritos na linguagem Rust e são distribuídos sob as licenças MIT e Apache 2.0. O Bottlerocket suporta execução em clusters Amazon ECS, VMware e AWS EKS Kubernetes, bem como a criação de builds e edições personalizadas que permitem a utilização de várias ferramentas de orquestração e runtime para contêineres.
A distribuição fornece uma imagem do sistema atômica e atualizável automaticamente, incluindo o núcleo Linux e um ambiente mínimo do sistema, contendo apenas os componentes necessários para executar contêineres. O ambiente utiliza o gerenciador de sistema systemd, a biblioteca Glibc, a ferramenta de construção Buildroot, o carregador de inicialização GRUB, o configurador de rede wicked, o runtime para contêineres isolados containerd, a plataforma de orquestração de contêineres Kubernetes, o autenticador aws-iam-authenticator e o agente Amazon ECS.
As ferramentas para orquestração de contêineres são fornecidas em um contêiner de gerenciamento separado, que é incluído por padrão e gerenciado via API e AWS SSM Agent. A imagem base não contém um shell de comando. servidor SSH e linguagens interpretadas (por exemplo, não há Python ou Perl) - as ferramentas para o administrador e os instrumentos de depuração foram realocados em um contêiner de serviço separado, que está desativado por padrão.
A principal diferença em relação a distribuições semelhantes, como Fedora CoreOS, CentOS/Red Hat Atomic Host, é a orientação primária para proporcionar máxima segurança no contexto de reforçar a proteção do sistema contra possíveis ameaças, complicar a exploração de vulnerabilidades nos componentes do sistema operacional e aumentar o isolamento dos contêineres. Os contêineres são criados usando os mecanismos nativos do núcleo Linux - cgroups, namespaces e seccomp. Para isolamento adicional, o SELinux é aplicado no modo 'enforcing'.
A partição raiz é montada em modo somente leitura, enquanto a partição de configurações /etc é montada em tmpfs e restaura seu estado original após a reinicialização. A modificação direta de arquivos no diretório /etc, como /etc/resolv.conf e /etc/containerd/config.toml, não é suportada — para a preservação permanente das configurações, deve-se usar a API ou mover a funcionalidade para contêineres separados. Para verificação criptográfica da integridade da partição raiz, é utilizado o módulo dm-verity, e, ao detectar uma tentativa de modificação de dados no nível do dispositivo de bloco, o sistema reinicia.
A maioria dos componentes do sistema é escrita na linguagem Rust, que fornece ferramentas para um gerenciamento seguro da memória, evitando vulnerabilidades causadas pelo acesso a áreas de memória após a liberação, desreferenciação de ponteiros nulos e estouros de buffer. Durante a compilação, os modos padrão "--enable-default-pie" e "--enable-default-ssp" são aplicados para habilitar a randomização do espaço de endereçamento de arquivos executáveis (PIE) e proteção contra estouro de pilha através da substituição de marcadores canários. Para pacotes escritos em C/C++, são adicionados os flags "-Wall", "-Werror=format-security", "-Wp,-D_FORTIFY_SOURCE=2", "-Wp,-D_GLIBCXX_ASSERTIONS" e "-fstack-clash-protection".
No novo lançamento:
- Adicionada a suporte a espelhos de registro de imagens de contêiner.
- Adicionada a possibilidade de usar certificados autoassinados.
- Adicionado um parâmetro para configurar o nome do host.
- Atualizada a versão do contêiner administrativo padrão.
- Adicionadas configurações topologyManagerPolicy e topologyManagerScope para kubelet.
- Adicionada a suporte à compressão do kernel usando o algoritmo zstd.
- Oferecida a possibilidade de carregar no VMware máquinas virtuais no formato OVA (Open Virtualization Format).
- Atualizada a versão da distribuição aws-k8s-1.21 com suporte ao Kubernetes 1.21. O suporte ao aws-k8s-1.16 foi descontinuado.
- Atualizadas as versões dos pacotes e dependências para a linguagem Rust.
Fonte: opennet.ru
