Objavljen je izdanak Linux distribucije Bottlerocket 1.7.0, koju razvija kompanija Amazon za efikasno i sigurno pokretanje izolovanih kontejnera. Alati i upravljačke komponente distribucije su napisane na jeziku Rust i distribuiraju se pod MIT i Apache 2.0 licencama. Podržano je pokretanje Bottlerocket-a u Amazon ECS klasterima, VMware-u i AWS EKS Kubernetesu, kao i kreiranje proizvoljnih verzija koje omogućavaju korišćenje različitih alata za orkestraciju i runtime za kontejnere.
Distribucija zagotavlja atomsko in samodejno posodobljiv nedeljiv sistemski sliko, ki vključuje Linux jedro in minimalno sistemsko okolje, ki vsebuje le komponente, potrebne za zagon kontejnerjev. V okolju so vključeni sistemski upravljalec systemd, knjižnica Glibc, orodja za gradnjo Buildroot, naložbeni program GRUB, konfigurator omrežja wicked, runtime za izolirane kontejnerje containerd, platforma za orkestracijo kontejnerjev Kubernetes, avtentikator aws-iam-authenticator in agent Amazon ECS.
Orodja za orkestracijo kontejnerjev so na voljo v ločenem upravljalskem kontejnerju, ki se privzeto vključi in upravlja preko API-ja in AWS SSM agenta. V osnovni sliki ni ukazne lupine, strežnik SSH in interpretirani jeziki (na primer, Python ali Perl) — orodja za skrbnike in orodja za odpravljanje napak so premaknjena v ločen storitveni kontejner, ki je privzeto izključen.
Ključna razlika od podobnih distribucij, kot sta Fedora CoreOS, CentOS/Red Hat Atomic Host, je prva usmeritev k zagotavljanju maksimalne varnosti v kontekstu krepitev zaščite sistema pred morebitnimi grožnjami, oteževanja izkoriščanja ranljivosti v komponentah OS in povečanja izolacije kontejnerjev. Kontejnerji se ustvarjajo s pomočjo vgrajenih mehanizmov jedra Linux — cgroups, prostorov imen in seccomp. Za dodatno izolacijo se v distribuciji uporablja SELinux v načinu „enforcing“.
Glavni razdelek se montira v načinu samo za branje, razdelek z nastavitvami /etc pa se montira v tmpfs in povrne izvorno stanje po ponovnem zagonu. Neposredno spreminjanje datotek v imeniku /etc, kot so /etc/resolv.conf in /etc/containerd/config.toml, ni podprto — za trajno shranjevanje nastavitev je treba uporabiti API ali prenesti funkcionalnost v ločene kontejnerje. Za kriptografsko overitev celovitosti glavnega razdelka je vključen modul dm-verity, sistem pa se znova zažene v primeru odkritja poskusa spremembe podatkov na ravni blokovnega naprave.
Večina sistemskih komponent je napisana v jeziku Rust, ki nudi sredstva za varno delo z pomnilnikom, kar preprečuje ranljivosti, ki izhajajo iz dostopa do pomnilnika po njegovi osvoboditvi, dereferenciranja ničelnih kazalcev in prekoračenja meja pomnilniškega nabora. Pri privzetem sestavljanju se uporabljajo načini sestavljanja „—enable-default-pie“ in „—enable-default-ssp“ za vključitev naključnega naslovnega prostora izvršnih datotek (PIE) in zaščite pred prelivanjem sklada preko nadomestnih kanarčnih oznak. Za pakete, napisane v jeziku C/C++, se dodatno vključijo zastavice „-Wall“, „-Werror=format-security“, „-Wp,-D_FORTIFY_SOURCE=2“, „-Wp,-D_GLIBCXX_ASSERTIONS“ in „-fstack-clash-protection“.
U novom izdanju:
- Prilikom instalacije RPM paketa osiguran je generisanje liste programa u JSON formatu i montiranje iste u host-kontejner kao datoteku /var/lib/bottlerocket/inventory/application.json za dobijanje informacija o dostupnim paketima.
- Ažurirani su kontejneri "admin" i "control".
- Ažurirane su verzije paketa i zavisnosti za jezike Go i Rust.
- Ažurirane su verzije paketa sa sporednim programima.
- Rešeni su problemi sa konfiguracijom tmpfilesd za kmod-5.10-nvidia.
- Prilikom instalacije tuftool obezbeđena je povezanost verzija zavisnosti.
Izvor: opennet.ru
