A Microsoft publicou uma atualização da distribuição CBL-Mariner 1.0.20210901 (Common Base Linux Mariner), que está sendo desenvolvida como uma plataforma básica universal para ambientes Linux utilizados na infraestrutura de nuvem, sistemas edge e diversos serviços da Microsoft. O projeto visa unificar as soluções Linux aplicadas na Microsoft e simplificar a manutenção de sistemas Linux para diferentes propósitos, mantendo-os atualizados. As inovações do projeto são distribuídas sob a licença MIT.
No novo lançamento:
- Começou a formação da imagem ISO básica (700 MB). Na primeira versão, as imagens ISO prontas não foram fornecidas, sendo entendido que o usuário pode criar sua própria imagem com o conteúdo necessário (instruções de compilação estão preparadas para Ubuntu 18.04).
- Foi implementado o suporte para atualização automática de pacotes, para o que foi incluído o aplicativo Dnf-Automatic.
- O núcleo do Linux foi atualizado para a versão 5.10.60.1. As versões dos programas foram atualizadas, incluindo openvswitch 2.15.1, golang 1.16.7, logrus 1.8.1, tcell 1.4.0, gonum 0.9.3, testify 1.7.0, crunchy 0.4.0, xz 0.5.10, swig 4.0.2, squashfs-tools 4.4, mysql 8.0.26.
- No OpenSSL, foi oferecida a possibilidade de retorno do suporte a TLS 1 e TLS 1.1.
- Para verificar os códigos-fonte de ferramentas, foi utilizada a utilidade sha256sum.
- Novos pacotes foram incluídos: etcd-tools, cockpit, aide, fipscheck, tini.
- Os pacotes brp-strip-debug-symbols, brp-strip-unneeded e ca-legacy foram removidos. Os arquivos SPEC para os pacotes Dotnet e aspnetcore foram removidos, os quais agora são compilados pela equipe principal de desenvolvedores do .NET e hospedados em um repositório separado.
- Correções de vulnerabilidades foram incorporadas nas versões de pacotes utilizadas.
Lembre-se de que a distribuição CBL-Mariner fornece um pequeno conjunto básico de pacotes essenciais, que atua como uma base universal para a criação de ambientes de contêiner, ambientes de hospedagem e serviços executados em infraestruturas em nuvem e dispositivos de borda. Soluções mais complexas e especializadas podem ser criadas adicionando pacotes adicionais sobre o CBL-Mariner, mas a base para todos esses sistemas permanece inalterada, o que simplifica a manutenção e a preparação de atualizações. Por exemplo, o CBL-Mariner é usado como base para a mini-distribuição WSLg, que fornece componentes da pilha gráfica para permitir a execução de aplicativos GUI do Linux em ambientes baseados no subsistema WSL2 (Windows Subsystem for Linux). Funcionalidade adicional no WSLg é implementada por meio da inclusão de pacotes adicionais com composições. servidor Weston, XWayland, PulseAudio e FreeRDP.
O sistema de construção CBL-Mariner permite gerar tanto pacotes RPM individuais a partir de arquivos SPEC e códigos fontes quanto imagens de sistema monolíticas, formadas com a ferramenta rpm-ostree e atualizadas de forma atômica, sem dividir em pacotes separados. Assim, duas modelos de entrega de atualizações são suportados: através da atualização de pacotes individuais e da reconstrução e atualização de toda a imagem do sistema. Um repositório está disponível, incluindo cerca de 3000 pacotes RPM já construídos, que podem ser usados para compor suas próprias imagens com base no arquivo de configuração.
A distribuição inclui apenas os componentes mais essenciais e é otimizada para um consumo mínimo de memória e espaço em disco, bem como para alta velocidade de inicialização. A distribuição também se destaca por incluir vários mecanismos adicionais para aumentar a segurança. O projeto aplica a abordagem de "máxima segurança por padrão". Oferece a possibilidade de filtrar chamadas de sistema através do mecanismo seccomp, criptografia de partições de disco e verificação de pacotes por assinatura digital.
Modos de randomização de espaço de endereço suportados no núcleo Linux estão ativados, assim como mecanismos de proteção contra ataques relacionados a links simbólicos, mmap, /dev/mem e /dev/kmem. Para áreas da memória onde os segmentos de dados do núcleo e dos módulos estão alocados, a configuração é apenas para leitura e a execução de código é proibida. Opcionalmente, é possível proibir a carga de módulos do núcleo após a inicialização do sistema. O ferramenta iptables é utilizada para filtrar pacotes de rede. Durante a construção, os modos de proteção contra estouro de pilha, estouros de buffer e problemas de formatação de strings (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro) estão ativados por padrão.
Para gerenciar serviços e inicialização, utiliza-se o gerenciador de sistema systemd. Para gerenciamento de pacotes, são fornecidos os gerenciadores de pacotes RPM e DNF (uma variante tdnf da vmWare). O servidor SSH não é ativado por padrão. Para a instalação da distribuição, um instalador é fornecido, que pode operar tanto em modos texto quanto gráfico. O instalador oferece a opção de instalação com um conjunto completo ou básico de pacotes, além de uma interface para escolher a partição do disco, selecionar o nome do host e criar usuários.
Fonte: opennet.ru
