Está disponível o lançamento da distribuição Linux Bottlerocket 1.1.0, desenvolvida em colaboração com a Amazon para o gerenciamento eficaz e seguro de containers isolados. As ferramentas e componentes de gestão da distribuição são escritos na linguagem Rust e são distribuídos sob as licenças MIT e Apache 2.0. O Bottlerocket suporta execução em clusters Amazon ECS e AWS EKS Kubernetes, além da criação de builds e edições personalizadas, permitindo o uso de diferentes ferramentas de orquestração e runtime para containers.
A distribuição fornece uma imagem do sistema atômica e atualizável automaticamente, incluindo o núcleo Linux e um ambiente mínimo do sistema, contendo apenas os componentes necessários para executar contêineres. O ambiente utiliza o gerenciador de sistema systemd, a biblioteca Glibc, a ferramenta de construção Buildroot, o carregador de inicialização GRUB, o configurador de rede wicked, o runtime para contêineres isolados containerd, a plataforma de orquestração de contêineres Kubernetes, o autenticador aws-iam-authenticator e o agente Amazon ECS.
As ferramentas para orquestração de contêineres são fornecidas em um contêiner de gerenciamento separado, que é incluído por padrão e gerenciado via API e AWS SSM Agent. A imagem base não contém um shell de comando. servidor SSH e linguagens interpretadas (por exemplo, não há Python ou Perl) - as ferramentas para o administrador e os instrumentos de depuração foram realocados em um contêiner de serviço separado, que está desativado por padrão.
A principal diferença em relação a distribuições semelhantes, como Fedora CoreOS, CentOS/Red Hat Atomic Host, é a orientação primária para proporcionar máxima segurança no contexto de reforçar a proteção do sistema contra possíveis ameaças, complicar a exploração de vulnerabilidades nos componentes do sistema operacional e aumentar o isolamento dos contêineres. Os contêineres são criados usando os mecanismos nativos do núcleo Linux - cgroups, namespaces e seccomp. Para isolamento adicional, o SELinux é aplicado no modo 'enforcing'.
A partição raiz é montada em modo somente leitura, enquanto a partição de configurações /etc é montada em tmpfs e restaura seu estado original após a reinicialização. A modificação direta de arquivos no diretório /etc, como /etc/resolv.conf e /etc/containerd/config.toml, não é suportada — para a preservação permanente das configurações, deve-se usar a API ou mover a funcionalidade para contêineres separados. Para verificação criptográfica da integridade da partição raiz, é utilizado o módulo dm-verity, e, ao detectar uma tentativa de modificação de dados no nível do dispositivo de bloco, o sistema reinicia.
A maioria dos componentes do sistema é escrita na linguagem Rust, que fornece ferramentas para um gerenciamento seguro da memória, evitando vulnerabilidades causadas pelo acesso a áreas de memória após a liberação, desreferenciação de ponteiros nulos e estouros de buffer. Durante a compilação, os modos padrão "--enable-default-pie" e "--enable-default-ssp" são aplicados para habilitar a randomização do espaço de endereçamento de arquivos executáveis (PIE) e proteção contra estouro de pilha através da substituição de marcadores canários. Para pacotes escritos em C/C++, são adicionados os flags "-Wall", "-Werror=format-security", "-Wp,-D_FORTIFY_SOURCE=2", "-Wp,-D_GLIBCXX_ASSERTIONS" e "-fstack-clash-protection".
No novo lançamento:
- Foram propostos dois novos variantes da distribuição aws-k8s-1.20 e vmware-k8s-1.20 com suporte ao Kubernetes 1.20. Nesses variantes, assim como na versão atualizada aws-ecs-1, foi utilizado o novo lançamento do núcleo Linux 5.10. O modo lockdown por padrão foi definido como 'integrity' (bloqueando as capacidades que permitem modificar um núcleo em execução a partir do espaço do usuário). O suporte para a variante aws-k8s-1.15 baseada no Kubernetes 1.15 foi encerrado.
- Para o Amazon ECS, foi implementado o suporte ao modo de rede awsvpc, permitindo a atribuição de interfaces de rede individuais e internas endereços IP para cada tarefa.
- Adicionadas configurações para gerenciar vários parâmetros do Kubernetes, incluindo QPS, limites de pools e a possibilidade de conexão com provedores de nuvem diferentes da AWS.
- No container de bootstrap, foi garantida a restrição de acesso aos dados do usuário por meio do SELinux.
- Foi adicionada a ferramenta resize2fs.
Fonte: opennet.ru
