Spoločnosť Microsoft zverejnila aktualizáciu distribúcie Azure Linux 3.0.20241101, pokračujúcu vo vývoji stabilnej vetvy 3.0, ktorá bola vytvorená v auguste. Distribúcia sa vyvíja ako univerzálna základná platforma pre Linuxové prostredia, ktoré sa používajú v cloudovej infraštruktúre, edge systémoch a rôznych službách Microsoftu. Vývoj projektu sa šíri pod licenciou MIT. Sady balíkov sú vytvárané pre architektúry aarch64 a x86_64. Veľkosť inštalačného obrazu je 751 MB.
Medzi zmenami v novej verzii:
- Pre systémy založené na architektúre ARM bola pridaná podpora špecifikácie FF-A (Firmware Framework for Arm A-profile).
- Bol zahrnutý modul jadra intel_ifs (In-Field Scan), ktorý umožňuje spúšťanie nízkoúrovňových diagnostických testov CPU na procesoroch Intel, schopných odhaľovať problémy, ktoré nie sú identifikované štandardnými prostriedkami na základe kódov korekcie chýb (ECC) alebo paritných bitov.
- Do načítača GRUB2 boli pridané SBAT záznamy pre Fedora Linux.
- Pri zostavovaní jadra bola zahrnutá konfigurácia CONFIG_X86_AMD_PLATFORM_DEVICE, pri ktorej sú zariadenia ACPI špecifické pre čipy AMD spracovávané ako typové zariadenia platformy, ako napríklad I2C, UART a GPIO.
- Zabezpečená funkčnosť príkazov iptables prostredníctvom prekladu pravidiel do bajtkódu nftables (okrem iptables-legacy je zapojený balík iptables-nft).
- Aktualizované verzie balíkov, medzi ktoré patrí jadro Linux 6.6.57, Go 1.23, OpenIPMI 2.0.36, libpcap 1.10.5, vim 9.1.0791, mysql 8.0.40, clamav 1.0.7, cloud-init 24.3.1, php 8.3.12, mdadm 4.3, libarchive 3.7.7.
Distribúcia Azure Linux poskytuje malý typový balíček základných balíkov, ktoré slúžia ako univerzálny základ pre vytváranie obsahu kontajnerov, hostiteľských prostredí a služieb, ktoré sa spúšťajú v cloudových infraštruktúrach a na edge zariadeniach. Zložitejšie a špecializované riešenia môžu byť vytvárané pridaním ďalších balíkov na Azure Linux, avšak základ pre všetky takéto systémy zostáva nezmenený, čo zjednodušuje údržbu a prípravu aktualizácií.
Azure Linux sa používa ako základ mini-distribúcie WSLg, v ktorej sú poskytované komponenty grafického stacku na spustenie GUI aplikácií Linux na prostrediach založených na subsystéme WSL2 (Windows Subsystem for Linux). Rozšírená funkcionalita v WSLg je realizovaná prostredníctvom zahrnutia dodatočných balíkov s kompozitom. serverom Weston, XWayland, PulseAudio a FreeRDP.
Na správu služieb a načítania sa používa systémový správca systemd. Na správu balíkov sa dodávajú balíkové správcovia RPM a DNF. SSH server nie je predvolene zapnutý. Na inštaláciu distribúcie je k dispozícii inštalačný program, ktorý môže fungovať v textovom aj grafickom režime. V inštalačnom programe je k dispozícii možnosť inštalácie s plnou alebo základnou sadou balíkov, ponúka rozhranie na výber diskovej partition, výber názvu hostiteľa a vytvorenie používateľov.
Systém zostavovania Azure Linux umožňuje generovať ako samostatné RPM balíčky na základe SPEC súborov a zdrojových textov, tak aj monolitné systémové obrazy, ktoré sa formujú pomocou nástroja rpm-ostree a aktualizujú atomicky bez rozdelenia na jednotlivé balíčky. Preto sú podporované dva modely dodávania aktualizácií: prostredníctvom aktualizácie jednotlivých balíčkov a prostredníctvom prestavby a aktualizácie celého systémového obrazu. K dispozícii je repozitár, ktorý obsahuje približne 3000 už zostavených RPM balíčkov, ktorý možno použiť na zostavovanie vlastných obrazov na základe konfiguračného súboru.
Základná platforma obsahuje iba najpotrebnejšie komponenty a je optimalizovaná pre minimálnu spotrebu pamäte a diskového priestoru, ako aj pre vysokú rýchlosť spúšťania. V projekte sa uplatňuje prístup »maximálna bezpečnosť predvolene«, čo znamená aktiváciu rôznych dodatočných mechanizmov na zvýšenie ochrany:
- Filter systémových volaní pomocou mechanizmu seccomp.
- Šifrovanie diskových oddielov.
- Overenie balíčkov pomocou digitálneho podpisu.
- Randomizácia adresného priestoru.
- Ochrana proti útokom súvisiacim so symbolickými odkazmi, mmap, /dev/mem a /dev/kmem.
- Režim len na čítanie a zákaz vykonávania kódu v oblastiach pamäte, kde sú umiestnené segmenty s údajmi jadra a modulov.
- Možnosť zakázať načítanie modulov jadra po inicializácii systému.
- Použitie iptables na filtrovanie sieťových paketov.
- Zahrnutie režimov ochrany pred pretečením zásobníka, pretečením buffera a problémami s formátovaním reťazcov pri zostavovaní (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro).
Zdroj: opennet.ru
