A Microsoft renomeou a distribuição CBL-Mariner para Azure Linux. Anteriormente, o nome Azure Linux era usado para uma compilação especializada, instalada no Azure Kubernetes Service (AKS), enquanto a plataforma geral para a criação de distribuições era desenvolvida sob o nome CBL-Mariner (Common Base Linux Mariner). Há alguns dias, a Microsoft renomeou o repositório CBL-Mariner para azurelinux, alterou os nomes das utilidades e substituiu as menções ao CBL-Mariner na documentação por Azure Linux. Após isso, a primeira versão da plataforma com o novo nome foi lançada — Azure Linux 2.0.20240301, que corrige erros e vulnerabilidades acumuladas em aplicativos.
O projeto visa unificar as soluções Linux usadas na Microsoft e simplificar a manutenção de sistemas Linux de várias finalidades em estado atualizado. Entre outras coisas, a distribuição é utilizada na infraestrutura de nuvem, sistemas edge e diversos serviços da Microsoft. Os desenvolvimentos do projeto são distribuídos sob a licença MIT. Os pacotes são formados para as arquiteturas aarch64 e x86_64. Uma imagem ISO de inicialização foi preparada (860 MB) para a arquitetura x86_64.
A distribuição Azure Linux fornece um pequeno conjunto padrão de pacotes essenciais, que serve como base universal para a criação de conteúdos de contêineres, ambientes de hospedagem e serviços executados em infraestruturas de nuvem e em dispositivos de edge. Soluções mais complexas e especializadas podem ser criadas adicionando pacotes adicionais sobre o Azure Linux, mas a base para todos esses sistemas permanece inalterada, o que simplifica a manutenção e a preparação de atualizações.
Por exemplo, a Azure Linux é utilizada como base de um mini-distrituitivo WSLg, que fornece os componentes gráficos para executar aplicativos GUI Linux em ambientes baseados na subsistema WSL2 (Windows Subsystem for Linux). Funcionalidade avançada no WSLg é implementada através da inclusão de pacotes adicionais com compósito. servidor Weston, XWayland, PulseAudio e FreeRDP.
O sistema de construção Azure Linux permite gerar tanto pacotes RPM distintos com base em arquivos SPEC e textos fonte, quanto imagens de sistema monolíticas, formadas com a ferramenta rpm-ostree e atualizadas de forma atômica sem dividir em pacotes individuais. Assim, são suportados dois modelos de entrega de atualizações: por meio da atualização de pacotes individuais e pela reconstrução e atualização de toda a imagem do sistema. Um repositório está disponível, incluindo cerca de 3000 pacotes RPM já construídos, que podem ser utilizados para compor suas próprias imagens com base em um arquivo de configuração.
A plataforma básica inclui apenas os componentes mais necessários e está otimizada para uso mínimo de memória e espaço em disco, além de alta velocidade de inicialização. O projeto adota a abordagem de 'máxima segurança por padrão', que implica a inclusão de diversos mecanismos adicionais para aumentar a proteção:
- Filtragem de chamadas de sistema através do mecanismo seccomp.
- Criptografia de partições de disco.
- Verificação de pacotes por assinatura digital.
- Randomização do espaço de endereçamento.
- Proteção contra ataques relacionados a links simbólicos, mmap, /dev/mem e /dev/kmem.
- Modo somente leitura e proibição de execução de código em áreas de memória onde estão localizados os segmentos com dados do núcleo e módulos.
- Opção para bloquear o carregamento de módulos do núcleo após a inicialização do sistema.
- Uso de iptables para filtragem de pacotes de rede.
- Habilitação, durante a construção, de modos de proteção contra estouros de pilha, estouros de buffer e problemas de formatação de strings (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro).
Para gerenciar serviços e carga, é utilizado o gerenciador de sistema systemd. Para gerenciar pacotes, são fornecidos os gerenciadores de pacotes RPM e DNF. O servidor SSH não é habilitado por padrão. Para a instalação da distribuição, há um instalador que pode operar tanto em modos texto quanto gráfico. O instalador oferece a opção de instalação com um conjunto completo ou básico de pacotes, além de uma interface para selecionar a partição, nome do host e criação de usuários.
Além das mudanças relacionadas ao CBL-Mariner e ao Azure Linux, a Microsoft também apresentou uma nova versão da plataforma Azure Sphere 24.03, construída sobre o núcleo Linux e destinada à criação de dispositivos de Internet das Coisas baseados em microcontroladores (MCU, microcontroller unit) energeticamente eficientes com subsistemas periféricos integrados. Uma das características da plataforma é o subsistema Pluton, destinado a fornecer recursos de hardware para criptografia, armazenamento de chaves privadas e execução de operações criptográficas complexas. O Pluton inclui um processador especializado separado, um mecanismo criptográfico, um gerador de números aleatórios de hardware e um armazenamento isolado de chaves.
Fonte: opennet.ru
