A Microsoft lançou a primeira atualização estável da nova ramificação da distribuição Azure Linux 3.0, que anteriormente era conhecida como CBL-Mariner. A distribuição está sendo desenvolvida como uma plataforma base versátil para ambientes Linux utilizados em infraestrutura de nuvem, sistemas de edge e diversos serviços da Microsoft. O projeto visa unificar as soluções Linux usadas pela Microsoft e simplificar a manutenção de sistemas Linux para diferentes fins. Os desenvolvimentos do projeto são distribuídos sob a licença MIT. As compilações de pacotes são formadas para as arquiteturas aarch64 e x86_64. O tamanho da imagem de instalação é de 740 MB.
Entre as mudanças na nova versão:
- O núcleo Linux foi atualizado para a versão 6.6 (anteriormente utilizava-se o núcleo 5.15). Foi adicionado suporte para sobreposição de patches no núcleo em funcionamento (live patching), permitindo a correção de vulnerabilidades no núcleo sem reinicialização.
- Novas versões de pacotes foram propostas, entre as quais systemd 255, glibc 2.38, GCC 13.2, clang 18.1, OpenSSL 3.3, rpm 4.18.2, ruby 3.3.0, BIND 9.20, containerd 1.7.13, kunc 1.1.12, ostree 2024.5, rust 1.75, Perl 5.38, Python 3.12.3, QEMU 8.2.0.
- O sistema de controle de acesso SELinux agora está configurado por padrão para o modo 'enforcing'.
- Uma hierarquia unificada cgroups v2 está ativada por padrão. A principal diferença entre cgroups v2 e v1 é a aplicação de uma hierarquia cgroups comum para todos os tipos de recursos, em vez de hierarquias separadas para a distribuição de recursos de CPU, regulação do consumo de memória e entrada/saída.
- Foram adicionadas ferramentas para substituir outras distribuições (OSsku In-Place Migration) em nós na nuvem Microsoft Azure, por exemplo, é possível substituir o Ubuntu instalado pela Azure Linux.
- Suporte para novas GPUs da NVIDIA foi adicionado, como a NVIDIA A100 e H100, além de ter sido disponibilizado o NVIDIA GPU Operator para automatizar o gerenciamento de drivers NVIDIA em nós com Azure Linux.
A distribuição Azure Linux fornece um pequeno conjunto padrão de pacotes essenciais, que serve como base universal para a criação de conteúdos de contêineres, ambientes de hospedagem e serviços executados em infraestruturas de nuvem e em dispositivos de edge. Soluções mais complexas e especializadas podem ser criadas adicionando pacotes adicionais sobre o Azure Linux, mas a base para todos esses sistemas permanece inalterada, o que simplifica a manutenção e a preparação de atualizações.
Por exemplo, a Azure Linux é utilizada como base de um mini-distrituitivo WSLg, que fornece os componentes gráficos para executar aplicativos GUI Linux em ambientes baseados na subsistema WSL2 (Windows Subsystem for Linux). Funcionalidade avançada no WSLg é implementada através da inclusão de pacotes adicionais com compósito. servidor Weston, XWayland, PulseAudio e FreeRDP.
Para gerenciar serviços e carga, é utilizado o gerenciador de sistema systemd. Para gerenciar pacotes, são fornecidos os gerenciadores de pacotes RPM e DNF. O servidor SSH não é habilitado por padrão. Para a instalação da distribuição, há um instalador que pode operar tanto em modos texto quanto gráfico. O instalador oferece a opção de instalação com um conjunto completo ou básico de pacotes, além de uma interface para selecionar a partição, nome do host e criação de usuários.
O sistema de construção Azure Linux permite gerar tanto pacotes RPM distintos com base em arquivos SPEC e textos fonte, quanto imagens de sistema monolíticas, formadas com a ferramenta rpm-ostree e atualizadas de forma atômica sem dividir em pacotes individuais. Assim, são suportados dois modelos de entrega de atualizações: por meio da atualização de pacotes individuais e pela reconstrução e atualização de toda a imagem do sistema. Um repositório está disponível, incluindo cerca de 3000 pacotes RPM já construídos, que podem ser utilizados para compor suas próprias imagens com base em um arquivo de configuração.
A plataforma básica inclui apenas os componentes mais necessários e está otimizada para uso mínimo de memória e espaço em disco, além de alta velocidade de inicialização. O projeto adota a abordagem de 'máxima segurança por padrão', que implica a inclusão de diversos mecanismos adicionais para aumentar a proteção:
- Filtragem de chamadas de sistema através do mecanismo seccomp.
- Criptografia de partições de disco.
- Verificação de pacotes por assinatura digital.
- Randomização do espaço de endereçamento.
- Proteção contra ataques relacionados a links simbólicos, mmap, /dev/mem e /dev/kmem.
- Modo somente leitura e proibição de execução de código em áreas de memória onde estão localizados os segmentos com dados do núcleo e módulos.
- Opção para bloquear o carregamento de módulos do núcleo após a inicialização do sistema.
- Uso de iptables para filtragem de pacotes de rede.
- Habilitação, durante a construção, de modos de proteção contra estouros de pilha, estouros de buffer e problemas de formatação de strings (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro).
Fonte: opennet.ru
