{"id":104359,"date":"2022-06-12T09:36:41","date_gmt":"2022-06-12T07:36:41","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/dostupen-bottlerocket-1-8-distributiv-na-baze-izolirovannyh-kontejnerov"},"modified":"2022-06-12T09:36:41","modified_gmt":"2022-06-12T07:36:41","slug":"dostupen-bottlerocket-1-8-distributiv-na-baze-izolirovannyh-kontejnerov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/dostupen-bottlerocket-1-8-distributiv-na-baze-izolirovannyh-kontejnerov","title":{"rendered":"Dispon\u00edvel Bottlerocket 1.8, uma distribui\u00e7\u00e3o baseada em cont\u00eaineres isolados.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Foi lan\u00e7ado o versionamento da distribui\u00e7\u00e3o Linux Bottlerocket 1.8.0, desenvolvida em parceria com a Amazon para iniciar com efici\u00eancia e seguran\u00e7a cont\u00eaineres isolados. As ferramentas e componentes de gerenciamento da distribui\u00e7\u00e3o s\u00e3o escritos em Rust e s\u00e3o distribu\u00eddos sob as licen\u00e7as MIT e Apache 2.0. O Bottlerocket suporta execu\u00e7\u00e3o em clusters do Amazon ECS, VMware e AWS EKS Kubernetes, bem como a cria\u00e7\u00e3o de builds e edi\u00e7\u00f5es personalizadas, permitindo o uso de v\u00e1rias ferramentas de orquestra\u00e7\u00e3o e runtime para cont\u00eaineres. <\/p>\n

A distribui\u00e7\u00e3o fornece uma imagem do sistema at\u00f4mica e atualiz\u00e1vel automaticamente, incluindo o n\u00facleo Linux e um ambiente m\u00ednimo do sistema, contendo apenas os componentes necess\u00e1rios para executar cont\u00eaineres. O ambiente utiliza o gerenciador de sistema systemd, a biblioteca Glibc, a ferramenta de constru\u00e7\u00e3o Buildroot, o carregador de inicializa\u00e7\u00e3o GRUB, o configurador de rede wicked, o runtime para cont\u00eaineres isolados containerd, a plataforma de orquestra\u00e7\u00e3o de cont\u00eaineres Kubernetes, o autenticador aws-iam-authenticator e o agente Amazon ECS. <\/p>\n

As ferramentas para orquestra\u00e7\u00e3o de cont\u00eaineres s\u00e3o fornecidas em um cont\u00eainer de gerenciamento separado, que \u00e9 inclu\u00eddo por padr\u00e3o e gerenciado via API e AWS SSM Agent. A imagem base n\u00e3o cont\u00e9m um shell de comando. servidor<\/a> SSH e linguagens interpretadas (por exemplo, n\u00e3o Python ou Perl) \u2014 ferramentas para administradores e ferramentas de depura\u00e7\u00e3o foram colocadas em um cont\u00eainer de servi\u00e7o separado, que por padr\u00e3o est\u00e1 desativado. <\/p>\n

A principal diferen\u00e7a de distribui\u00e7\u00f5es semelhantes, como Fedora CoreOS e CentOS\/Red Hat Atomic Host, \u00e9 a \u00eanfase em proporcionar a m\u00e1xima seguran\u00e7a no contexto de fortalecimento da prote\u00e7\u00e3o do sistema contra poss\u00edveis amea\u00e7as, dificultando a explora\u00e7\u00e3o de vulnerabilidades nos componentes do sistema operacional e aumentando a isolamento dos cont\u00eaineres. Os cont\u00eaineres s\u00e3o criados utilizando mecanismos padr\u00e3o do n\u00facleo Linux \u2014 cgroups, namespaces e seccomp. Para isolamento adicional, a distribui\u00e7\u00e3o utiliza SELinux no modo \u2018enforcing\u2019. <\/p>\n

A parti\u00e7\u00e3o raiz \u00e9 montada em modo somente leitura, e a parti\u00e7\u00e3o com configura\u00e7\u00f5es \/etc \u00e9 montada em tmpfs e restaura seu estado original ap\u00f3s a reinicializa\u00e7\u00e3o. A modifica\u00e7\u00e3o direta de arquivos no diret\u00f3rio \/etc, como \/etc\/resolv.conf e \/etc\/containerd\/config.toml, n\u00e3o \u00e9 suportada \u2014 para a preserva\u00e7\u00e3o permanente das configura\u00e7\u00f5es, deve-se usar a API ou mover funcionalidades para cont\u00eaineres separados. Para verifica\u00e7\u00e3o criptogr\u00e1fica da integridade da parti\u00e7\u00e3o raiz, \u00e9 utilizado o m\u00f3dulo dm-verity, e se uma tentativa de modifica\u00e7\u00e3o de dados for detectada no n\u00edvel do dispositivo de blocos, o sistema reinicia. <\/p>\n

A maioria dos componentes do sistema \u00e9 escrita em Rust, que fornece ferramentas para gerenciamento seguro de mem\u00f3ria, evitando vulnerabilidades causadas por acesso a \u00e1reas de mem\u00f3ria ap\u00f3s a libera\u00e7\u00e3o, desrefer\u00eancia de ponteiros nulos e estouro de buffer. Na compila\u00e7\u00e3o padr\u00e3o, os modos de compila\u00e7\u00e3o \u2018--enable-default-pie\u2019 e \u2018--enable-default-ssp\u2019 s\u00e3o aplicados para incluir a aleatoriza\u00e7\u00e3o do endere\u00e7o de espa\u00e7o de arquivos execut\u00e1veis (PIE) e prote\u00e7\u00e3o contra estouro de pilha atrav\u00e9s da substitui\u00e7\u00e3o de marcadores can\u00e1rios. Para pacotes escritos em C\/C++, as flags \u2018-Wall\u2019, \u2018-Werror=format-security\u2019, \u2018-Wp,-D_FORTIFY_SOURCE=2\u2019, \u2018-Wp,-D_GLIBCXX_ASSERTIONS\u2019 e \u2018-fstack-clash-protection\u2019 s\u00e3o adicionadas. <\/p>\n

No novo lan\u00e7amento: <\/p>\n