Spoločnosť Microsoft publikovala aktualizáciu distribúcie CBL-Mariner 1.0.20210901 (Common Base Linux Mariner), ktorá sa vyvíja ako univerzálna základná platforma pre Linuxové prostredia používané v cloudovej infraštruktúre, edge systémoch a rôznych službách Microsoftu. Projekt je zameraný na unifikáciu používaných Linuxových riešení v Microsoft a zjednodušenie udržiavania Linuxových systémov rôzneho zamerania v aktuálnom stave. Výsledky projektu sú distribuované pod licenciou MIT.
V novom vydaní:
- Začalo sa formovanie základného iso obrazu (700 MB). V prvom vydaní neboli k dispozícii hotové ISO obrazy, predpokladalo sa, že používateľ si môže sám vytvoriť obraz s potrebným obsahom (pokyny na zostavenie sú pripravené pre Ubuntu 18.04).
- Bola implementovaná podpora automatických aktualizácií balíkov, na tento účel bola súčasťou aplikácia Dnf-Automatic.
- Jadro Linuxu bolo aktualizované na verziu 5.10.60.1. Boli aktualizované verzie programov, vrátane openvswitch 2.15.1, golang 1.16.7, logrus 1.8.1, tcell 1.4.0, gonum 0.9.3, testify 1.7.0, crunchy 0.4.0, xz 0.5.10, swig 4.0.2, squashfs-tools 4.4, mysql 8.0.26.
- V OpenSSL bola pridaná možnosť návratu podpory TLS 1 a TLS 1.1.
- Na kontrolu zdrojových textov nástroja bola použitá utilita sha256sum.
- Súčasťou sú nové balíky: etcd-tools, cockpit, aide, fipscheck, tini.
- Boli odstránené balíky brp-strip-debug-symbols, brp-strip-unneeded a ca-legacy. Boli odstránené SPEC súbory pre balíky Dotnet a aspnetcore, ktoré teraz zostavuje hlavný tím vývojárov .NET a sú umiestnené v samostatnom repozitári.
- Do používaných verzií balíkov boli prenesené opravy zraniteľností.
Pripomíname, že distribúcia CBL-Mariner poskytuje malý štandardný súbor základných balíkov, ktorí slúžia ako univerzálny základ na vytváranie kontajnerov, hostiteľských prostredí a služieb, ktoré bežia v cloudových infraštruktúrach a na edge zariadeniach. Zložitejšie a špecializované riešenia môžu byť vytvorené pridaním ďalších balíkov nad CBL-Mariner, no základ pre všetky takéto systémy zostáva nemenný, čo zjednodušuje údržbu a prípravu aktualizácií. Napríklad, CBL-Mariner sa používa ako základ pre mini-distro WSLg, ktoré poskytuje komponenty grafického stacku na spúšťanie GUI aplikácií Linuxu v prostrediach založených na subsystému WSL2 (Windows Subsystem for Linux). Rozšírená funkcionalita v WSLg je implementovaná prostredníctvom zapojenia ďalších balíkov s kompozitom serverom Weston, XWayland, PulseAudio a FreeRDP.
Systém zostavovania CBL-Mariner umožňuje generovať buď samostatné RPM balíky na základe SPEC súborov a zdrojových textov, alebo monolitné systémové obrazy, ktoré sa vytvárajú pomocou nástroja rpm-ostree a aktualizujú sa atomicky bez rozdelenia na samostatné balíky. Podporujú sa tak dve modely dodávania aktualizácií: prostredníctvom aktualizácie jednotlivých balíkov a prostredníctvom prestavby a aktualizácie celého systémového obrazu. K dispozícii je repozitár, ktorý obsahuje približne 3000 už zostavených RPM balíkov, ktorý je možné využiť na zostavenie vlastných obrazov na základe konfiguračného súboru.
Distribúcia obsahuje len najnutnejšie komponenty a je optimalizovaná na minimálnu spotrebu pamäte a diskového priestoru, ako aj na vysokú rýchlosť bootovania. Distribúcia je taktiež známa zahrnutím rôznych dodatočných mechanizmov na zvýšenie ochrany. V projekte sa uplatňuje prístup „maximálna bezpečnosť ako predvolené nastavenie“. Je poskytnutá možnosť filtrácie systémových volaní pomocou mechanizmu seccomp, šifrovania diskových oddielov, verifikácie balíkov prostredníctvom digitálneho podpisu.
Sú aktivované podporované v jadre Linux režimy randomizácie adresného priestoru, ako aj mechanizmy ochrany proti útokom súvisiacim so symbolickými odkazmi, mmap, /dev/mem a /dev/kmem. Pre oblasti pamäte, v ktorých sú umiestnené segmenty s údajmi jadra a modulov, je nastavený režim iba na čítanie a je zakázané vykonávanie kódu. Voliteľne je k dispozícii možnosť zablokovania načítania modulov jadra po inicializácii systému. Na filtráciu sieťových paketov sa využíva nástroj iptables. Počas zostavovania sú predvolene povolené režimy ochrany proti pretečeniu zásobníka, pretečeniam bufferov a problémom s formátovaním reťazcov (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro).
Na správu služieb a bootovania sa používa systémový manažér systemd. Na správu balíkov sú k dispozícii balíkové manažéry RPM a DNF (varianta tdnf od vmWare). SSH server sa predvolene nezapína. Pre inštaláciu distribúcie je poskytnutý inštalátor, ktorý môže fungovať v textovom aj grafickom režime. V inštalátore je poskytnutá možnosť inštalácie s úplným alebo základným balíkmi, ponúka rozhranie na výber diskovej partition, výber názvu hostiteľa a vytvorenie používateľov.
Zdroj: opennet.ru
