A Microsoft publicou o lançamento da distribuição CBL-Mariner 1.0 (Common Base Linux Mariner), que é identificada como a primeira versão estável do projeto. A distribuição CBL-Mariner está sendo desenvolvida como uma plataforma base universal para ambientes Linux, utilizada em infraestrutura de nuvem, sistemas de edge e diversos serviços da Microsoft. O projeto visa unificar as soluções Linux utilizadas na Microsoft e simplificar a manutenção de sistemas Linux para diversos fins, mantendo-os atualizados. Os desenvolvimentos do projeto são distribuídos sob a licença MIT.
A distribuição fornece um pequeno conjunto básico padrão de pacotes, servindo como uma base universal para a criação de contêineres, ambientes de hospedagem e serviços executados em infraestruturas de nuvem e em dispositivos de edge. Soluções mais complexas e especializadas podem ser criadas através da adição de pacotes adicionais sobre o CBL-Mariner, mas a base para todos esses sistemas permanece a mesma, facilitando a manutenção e a preparação de atualizações.
Por exemplo, o CBL-Mariner é usado como base para a mini-distribuição WSLg, que fornece componentes da pilha gráfica para permitir a execução de aplicativos GUI do Linux em ambientes baseados no subsistema WSL2 (Windows Subsystem for Linux). A base desta distribuição permanece inalterada, enquanto a funcionalidade expandida é implementada através da inclusão de pacotes adicionais. servidor Weston, XWayland, PulseAudio e FreeRDP.
O sistema de construção do CBL-Mariner permite gerar tanto pacotes RPM individuais a partir de arquivos SPEC e códigos fonte, como também imagens de sistema monolíticas, formadas com o auxílio da ferramenta rpm-ostree e atualizadas de forma atômica sem a divisão em pacotes individuais. Portanto, são suportados dois modelos de entrega de atualizações: através da atualização de pacotes individuais e através da reconstrução e atualização da imagem do sistema completa. A distribuição inclui apenas os componentes mais essenciais e é otimizada para o mínimo consumo de memória e espaço em disco, além de oferecer alta velocidade de inicialização. A distribuição também é notável por incluir vários mecanismos adicionais para aumentar a segurança.
O projeto utiliza a abordagem de "máxima segurança como padrão". É possível filtrar chamadas de sistema utilizando o mecanismo seccomp, criptografar partições de disco e verificar pacotes por meio de assinatura digital. Durante a fase de construção, são ativados por padrão os modos de proteção contra estouros de pilha, estouros de buffer e problemas de formatação de strings (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro). Os modos de randomização de espaço de endereço suportados no kernel do Linux também estão ativados, assim como os mecanismos de proteção contra ataques relacionados a links simbólicos, mmap, /dev/mem e /dev/kmem. Para as áreas de memória onde estão os segmentos com dados do kernel e módulos, foi estabelecido um modo de leitura somente e a execução de código é proibida. Há a possibilidade opcional de proibir o carregamento de módulos do kernel após a inicialização do sistema. O conjunto de ferramentas iptables é utilizado para filtrar pacotes de rede.
Готовые ISO-образы не предоставляются. Подразумевается, что пользователь может сам создать образ с необходимой начинкой (cборочные инструкции предоставлены для Ubuntu 18.04). Доступен репозиторий с уже собранными RPM-пакетами, который можно использовать для компоновки собственных образов на основе файла конфигурации. В репозитории предложено около 3300 пакетов. Например, для сборки полного iso-образа достаточно выполнить: git clone https://github.com/microsoft/CBL-Mariner.git cd CBL-Mariner/toolkit sudo make iso REBUILD_TOOLS=y REBUILD_PACKAGES=n CONFIG_FILE=./imageconfigs/full.json
Para gerenciar serviços e inicialização, utiliza-se o gerenciador de sistema systemd. Para gerenciamento de pacotes, são fornecidos os gerenciadores de pacotes RPM e DNF (versão tdnf da vmWare). O servidor SSH não é ativado por padrão. Para a instalação da distribuição, um instalador é fornecido, que pode operar tanto em modo texto quanto gráfico. No instalador, há a opção de instalar com um conjunto completo ou básico de pacotes, oferecendo uma interface para seleção da partição de disco, escolha do nome do host e criação de usuários.
Fonte: opennet.ru
