Vyšla verzia Linux distribúcie Bottlerocket 1.1.0, vyvíjaná za účasti spoločnosti Amazon, pre efektívny a bezpečný spúšťanie izolovaných kontajnerov. Nástroje a riadiace komponenty distribúcie sú napísané v programovacom jazyku Rust a sú distribuované pod licenciami MIT a Apache 2.0. Bottlerocket podporuje spúšťanie v klastroch Amazon ECS a AWS EKS Kubernetes, ako aj vytváranie vlastných zostáv a edícií, ktoré umožňujú použitie rôznych nástrojov na orchestráciu a runtime pre kontajnery.
Distribúcia poskytuje atómovo a automaticky aktualizovaný nedeliteľný systémový obraz, ktorý obsahuje Linux jadro a minimálne systémové prostredie, vrátane iba komponentov potrebných na spúšťanie kontajnerov. V prostredí sú zapojené systémový správca systemd, knižnica Glibc, nástroj na zostavovanie Buildroot, zavádzač GRUB, konfigurátor siete wicked, runtime pre izolované kontajnery containerd, platforma na orchestráciu kontajnerov Kubernetes, autentifikátor aws-iam-authenticator a agent Amazon ECS.
Nástroje na orchestráciu kontajnerov sú dodávané v samostatnom riadiacom kontajneri, ktorý je zapnutý ako predvolené a spravovaný prostredníctvom API a AWS SSM Agent. V základnom obraze chýba príkazový shell. server SSH a interpretované jazyky (napríklad Python či Perl) – prostriedky pre administrátora a ladicí nástroje sú presunuté do samostatného služobného kontajnera, ktorý je predvolene vypnutý.
Kľúčovým rozdielom od podobných distribúcií, ako sú Fedora CoreOS, CentOS/Red Hat Atomic Host, je primárna orientácia na zabezpečenie maximálnej bezpečnosti v kontexte posilnenia ochrany systému pred možnými hrozbami, sťažovania prevádzky zraniteľností v komponentoch OS a zvyšovania izolácie kontajnerov. Kontajnery sa vytvárajú pomocou štandardných mechanizmov Linux jadra – cgroups, namespace a seccomp. Pre dodatočnú izoláciu sa v distribúcii používa SELinux v režime 'enforcing'.
Hlavný oddiel je pripojený v režime len na čítanie a oddiel s nastaveniami /etc je pripojený v tmpfs a obnovuje pôvodný stav po reštartovaní. Priame úpravy súborov v adresári /etc, ako napríklad /etc/resolv.conf a /etc/containerd/config.toml, nie sú podporované — na trvalé uchovanie nastavení je potrebné použiť API alebo presunúť funkčnosť do samostatných kontajnerov. Pre kryptografickú verifikáciu integrity hlavného oddielu je použitý modul dm-verity, a v prípade zistenia pokusu o modifikáciu dát na úrovni blokového zariadenia sa systém reštartuje.
Väčšina systémových komponentov je napísaná v jazyku Rust, ktorý poskytuje prostriedky pre bezpečnú prácu s pamäťou, čím sa vyhýba zraniteľnostiam spôsobeným prístupom do oblasti pamäte po jej uvoľnení, dereferencovaním nulových ukazovateľov a prekročením hraníc vášho vyrovnávacieho priestoru. Pri zostavovaní je predvolený režim kompilácie „--enable-default-pie“ a „--enable-default-ssp“ na aktiváciu náhodizácie adresného priestoru vykonávacích súborov (PIE) a ochranu pred pretečením zásobníka prostredníctvom substitúcie kanárikových značiek. Pre balíky napísané v jazyku C/C++ sú navyše pridávané flagy „-Wall“, „-Werror=format-security“, „-Wp,-D_FORTIFY_SOURCE=2“, „-Wp,-D_GLIBCXX_ASSERTIONS“ a „-fstack-clash-protection“.
V novom vydaní:
- Navrhnuté sú dve nové varianty distribúcie aws-k8s-1.20 a vmware-k8s-1.20 s podporou Kubernetes 1.20. V týchto variantoch, ako aj v aktualizovanej variante aws-ecs-1, je využívaná nová verzia jadra Linux 5.10. Režim lockdown je predvolene nastavený na hodnotu „integrity“ (obmedzuje sa možné zmeny v bežiacom jadre z používateľského priestoru). Podpora variantu aws-k8s-1.15 založeného na Kubernetes 1.15 bola zastavená.
- Pre Amazon ECS bola implementovaná podpora sieťového režimu awsvpc, ktorý umožňuje prideliť samostatné sieťové rozhrania a vnútorné IP adresy pre každú úlohu.
- Pridané nastavenia na riadenie rôznych parametrov Kubernetes, vrátane QPS, limitov pre pooly a možnosť pripojenia k cloudovým poskytovateľom, ktorí nie sú AWS.
- V bootstrap kontejnery je obmedzený prístup k používateľským dátam pomocou SELinux.
- Pridaný nástroj resize2fs.
Zdroj: opennet.ru
