Bol vydaný Linuxový distribučný balík Bottlerocket 1.8.0, rozvíjaný s príspevkom spoločnosti Amazon pre efektívne a bezpečné spúšťanie izolovaných kontajnerov. Nástroje a správcovské komponenty distribúcie sú napísané v jazyku Rust a šíria sa pod licenciami MIT a Apache 2.0. Bottlerocket podporuje spustenie v klastroch Amazon ECS, VMware a AWS EKS Kubernetes, ako aj vytváranie ľubovoľných zostáv a edícií, ktoré umožňujú použitie rôznych nástrojov orchestrácie a runtime pre kontajnery.
Distribúcia poskytuje atómovo a automaticky aktualizovaný nedeliteľný systémový obraz, ktorý obsahuje Linux jadro a minimálne systémové prostredie, vrátane iba komponentov potrebných na spúšťanie kontajnerov. V prostredí sú zapojené systémový správca systemd, knižnica Glibc, nástroj na zostavovanie Buildroot, zavádzač GRUB, konfigurátor siete wicked, runtime pre izolované kontajnery containerd, platforma na orchestráciu kontajnerov Kubernetes, autentifikátor aws-iam-authenticator a agent Amazon ECS.
Nástroje na orchestráciu kontajnerov sú dodávané v samostatnom riadiacom kontajneri, ktorý je zapnutý ako predvolené a spravovaný prostredníctvom API a AWS SSM Agent. V základnom obraze chýba príkazový shell. server SSH a interpretované jazyky (napríklad Python či Perl) – prostriedky pre administrátora a ladicí nástroje sú presunuté do samostatného služobného kontajnera, ktorý je predvolene vypnutý.
Kľúčovým rozdielom od podobných distribúcií, ako sú Fedora CoreOS, CentOS/Red Hat Atomic Host, je primárna orientácia na zabezpečenie maximálnej bezpečnosti v kontexte posilnenia ochrany systému pred možnými hrozbami, sťažovania prevádzky zraniteľností v komponentoch OS a zvyšovania izolácie kontajnerov. Kontajnery sa vytvárajú pomocou štandardných mechanizmov Linux jadra – cgroups, namespace a seccomp. Pre dodatočnú izoláciu sa v distribúcii používa SELinux v režime 'enforcing'.
Hlavný oddiel je pripojený v režime len na čítanie a oddiel s nastaveniami /etc je pripojený v tmpfs a obnovuje pôvodný stav po reštartovaní. Priame úpravy súborov v adresári /etc, ako napríklad /etc/resolv.conf a /etc/containerd/config.toml, nie sú podporované — na trvalé uchovanie nastavení je potrebné použiť API alebo presunúť funkčnosť do samostatných kontajnerov. Pre kryptografickú verifikáciu integrity hlavného oddielu je použitý modul dm-verity, a v prípade zistenia pokusu o modifikáciu dát na úrovni blokového zariadenia sa systém reštartuje.
Väčšina systémových komponentov je napísaná v jazyku Rust, ktorý poskytuje prostriedky pre bezpečnú prácu s pamäťou, čím sa vyhýba zraniteľnostiam spôsobeným prístupom do oblasti pamäte po jej uvoľnení, dereferencovaním nulových ukazovateľov a prekročením hraníc vášho vyrovnávacieho priestoru. Pri zostavovaní je predvolený režim kompilácie „--enable-default-pie“ a „--enable-default-ssp“ na aktiváciu náhodizácie adresného priestoru vykonávacích súborov (PIE) a ochranu pred pretečením zásobníka prostredníctvom substitúcie kanárikových značiek. Pre balíky napísané v jazyku C/C++ sú navyše pridávané flagy „-Wall“, „-Werror=format-security“, „-Wp,-D_FORTIFY_SOURCE=2“, „-Wp,-D_GLIBCXX_ASSERTIONS“ a „-fstack-clash-protection“.
V novom vydaní:
- Aktualizovaný obsah administratívnych a správcovských kontajnerov.
- Runtime pre izolované kontajnery bol aktualizovaný na vetvu containerd 1.6.x.
- Zabezpečené reštartovanie pozadových procesov koordinujúcich prácu kontajnerov po zmenách v úložisku certifikátov.
- Poskytla sa možnosť nastaviť spúšťacie parametre jadra cez sekciu Boot Configuration.
- Zahrnuté ignorovanie prázdnych blokov pri kontrole integrity koreňového oddielu pomocou dm-verity.
- Poskytla sa možnosť statickej viazania mien hostiteľov v /etc/hosts.
- Poskytla sa možnosť generácie sieťovej konfigurácie pomocou nástroja netdog (pridaná príkazová funkcia generate-net-config).
- Predložené nové varianty distribúcie s podporou Kubernetes 1.23. Skrátený čas spúšťania podov v Kubernetes vylúčením režimu configMapAndSecretChangeDetectionStrategy. Pridané nové nastavenia kubeletov: provider-id a podPidsLimit.
- Navrhnutý nový variant distribúcie „aws-ecs-1-nvidia“ pre Amazon Elastic Container Service (Amazon ECS), dodávaný s ovládačmi NVIDIA.
- Pridaná podpora pre úložné zariadenia Microchip Smart Storage a MegaRAID SAS. Rozšírená podpora Ethernetových kariet na čipoch Broadcom.
- Aktualizované verzie balíkov a závislosti pre jazyky Go a Rust, ako aj verzie balíkov tretích strán. Bottlerocket SDK bol aktualizovaný na verziu 0.26.0.
Zdroj: opennet.ru
