Podjetje Microsoft je objavilo prvo stabilno posodobitev nove veje distribucije Azure Linux 3.0, ki je bila prej distribuirana pod imenom CBL-Mariner. Distribucija se razvija kot univerzalna osnovna platforma za okolja Linux, uporabljena v oblačni infrastrukturi, sistemih rob in različnih storitvah Microsofta. Projekt je usmerjen k poenotenju Linux rešitev, ki jih uporablja Microsoft, in poenostavitvi vzdrževanja Linux sistemov raznolikega namena v ažurnem stanju. Razvojni projekti se širijo pod MIT licenco. Gradnje paketov se oblikujejo za arhitekture aarch64 in x86_64. Velikost namestitvenega slikovnega zapisa je 740 MB.
Među promenama u novoj verziji:
- Jedro Linuxa je posodobljeno na različico 6.6 (prej je bilo uporabljeno jedro 5.15). Dodana je podpora za prekrivanje popravkov na delujočem jedru (live patching), ki omogoča odpravljanje ranljivosti v jedru brez ponovnega zagona.
- Predlagane so nove različice paketov, med drugim systemd 255, glibc 2.38, GCC 13.2, clang 18.1, OpenSSL 3.3, rpm 4.18.2, ruby 3.3.0, BIND 9.20, containerd 1.7.13, kunc 1.1.12, ostree 2024.5, rust 1.75, Perl 5.38, Python 3.12.3, QEMU 8.2.0.
- Sistem prisilnega nadzora dostopa SELinux je privzeto prešel v način 'enforcing'.
- Privzeto je omogočena poenotena hierarhija cgroups v2. Ključna razlika cgroups v2 od v1 je uporaba skupne hierarhije cgroups za vse vrste virov, namesto ločenih hierarhij za dodeljevanje virov CPU, za regulacijo porabe pomnilnika in za vhod/izhod.
- Dodana so orodja za zamenjavo drugih distribucij (OSsku In-Place Migration) na vozliščih v oblačnem okolju Microsoft Azure, na primer, mogoče je zamenjati nameščen Ubuntu z Azure Linux.
- Dodana je podpora za nove grafične procesorje NVIDIA, kot sta NVIDIA A100 in H100, ter zagotovljen NVIDIA GPU Operator za avtomatizacijo upravljanja z gonilniki NVIDIA na vozliščih z Azure Linux.
Distribucija Azure Linux ponuja majhen tipični niz osnovnih paketov, ki predstavljajo univerzalno osnovo za ustvarjanje vsebine kontejnerjev, gostiteljskih okolij in storitev, ki se izvajajo v oblačni infrastrukturi in na naprave rob. Bolj kompleksna in specializirana rešitev se lahko ustvarja z dodajanjem dodatnih paketov na vrhu Azure Linux, toda osnova za vse takšne sisteme ostaja nespremenjena, kar poenostavi vzdrževanje in pripravo posodobitev.
Na primer, Azure Linux se uporablja kot osnova za mini distribucijo WSLg, v kateri so na voljo komponente grafičnega sklada za zagon GUI aplikacij Linux v okolju WSL2 (Windows Subsystem for Linux). Razširjena funkcionalnost v WSLg se doseže z vključitvijo dodatnih paketov s kompozitnim serverom Weston, XWayland, PulseAudio in FreeRDP.
Za upravljanje storitev in nalaganja se uporablja sistemski upravljalec systemd. Za upravljanje paketov so na voljo upravljalniki paketov RPM in DNF. SSH strežnik privzeto ni vključen. Za namestitev distribucije je na voljo namestitveni program, ki deluje tako v besedilnem kot grafičnem načinu. V namestitvenem programu je možnost namestitve s polnim ali osnovnim paketom, ponujeno je vmesnik za izbiro diska, izbiro imena gostitelja in ustvarjanje uporabnikov.
Sistem za gradnjo Azure Linux omogoča generiranje tako ločenih RPM paketov na osnovi SPEC datotek in izvorne kode, kot tudi monolitnih sistemskih slik, ustvarjenih s pomočjo orodja rpm-ostree, ki se posodabljajo atomsko brez razdeljevanja na posamezne pakete. Ustrezno so podprte dve modela dostave posodobitev: preko posodobitve posameznih paketov in preko prenove ter posodobitve celotne sistemske slike. Na voljo je repozitorij, ki vključuje približno 3000 že zgrajenih RPM paketov, ki jih je mogoče uporabiti za sestavo lastnih slik na osnovi konfiguracijske datoteke.
Osnovna platforma vključuje le najbolj nujne komponente in je optimizirana za minimalno porabo pomnilnika in diskovnega prostora ter za hitro nalaganje. V projektu se uporablja pristop "maksimalna varnost po privzetku", kar pomeni vključitev različnih dodatnih mehanizmov za povečanje zaščite:
- Filtriranje sistemskih klicev s pomočjo mehanizma seccomp.
- Šifriranje particij.
- Overitev paketov z digitalnim podpisom.
- Rondomizacija naslovnega prostora.
- Zaščita pred napadi, povezanimi s simboličnimi povezavami, mmap, /dev/mem in /dev/kmem.
- Način samo za branje in prepoved izvajanja kode na območjih spomina, kjer se nahajajo segmenti s podatki jedra in modulov.
- Možnost za prepoved nalaganja jedrskih modulov po inicializaciji sistema.
- Uporaba iptables za filtriranje omrežnih paketov.
- Vključitev zaščitnih načinov proti prelivanju sklada, prelivanju pomnilnika in težavam s formatiranjem nizov pri gradnji (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro).
Izvor: opennet.ru
