Na voljo je izdaja Linux distribucije Bottlerocket 1.1.0, ki jo razvija podjetje Amazon za učinkovito in varno zagon izoliranih kontejnerjev. Orodja in nadzorni elementi distribucije so napisani v jeziku Rust in se distribuirajo pod licencami MIT in Apache 2.0. Podpira zagon Bottlerocket v Amazon ECS in AWS EKS Kubernetes grozdih, pa tudi ustvarjanje poljubnih različic in gradnikov, ki omogočajo uporabo različnih orodij za orkestracijo in runtime za kontejnerje.
Distribucija zagotavlja atomsko in samodejno posodobljiv nedeljiv sistemski sliko, ki vključuje Linux jedro in minimalno sistemsko okolje, ki vsebuje le komponente, potrebne za zagon kontejnerjev. V okolju so vključeni sistemski upravljalec systemd, knjižnica Glibc, orodja za gradnjo Buildroot, naložbeni program GRUB, konfigurator omrežja wicked, runtime za izolirane kontejnerje containerd, platforma za orkestracijo kontejnerjev Kubernetes, avtentikator aws-iam-authenticator in agent Amazon ECS.
Orodja za orkestracijo kontejnerjev so na voljo v ločenem upravljalskem kontejnerju, ki se privzeto vključi in upravlja preko API-ja in AWS SSM agenta. V osnovni sliki ni ukazne lupine, strežnik SSH in interpretirani jeziki (na primer, Python ali Perl) — orodja za skrbnike in orodja za odpravljanje napak so premaknjena v ločen storitveni kontejner, ki je privzeto izključen.
Ključna razlika od podobnih distribucij, kot sta Fedora CoreOS, CentOS/Red Hat Atomic Host, je prva usmeritev k zagotavljanju maksimalne varnosti v kontekstu krepitev zaščite sistema pred morebitnimi grožnjami, oteževanja izkoriščanja ranljivosti v komponentah OS in povečanja izolacije kontejnerjev. Kontejnerji se ustvarjajo s pomočjo vgrajenih mehanizmov jedra Linux — cgroups, prostorov imen in seccomp. Za dodatno izolacijo se v distribuciji uporablja SELinux v načinu „enforcing“.
Glavni razdelek se montira v načinu samo za branje, razdelek z nastavitvami /etc pa se montira v tmpfs in povrne izvorno stanje po ponovnem zagonu. Neposredno spreminjanje datotek v imeniku /etc, kot so /etc/resolv.conf in /etc/containerd/config.toml, ni podprto — za trajno shranjevanje nastavitev je treba uporabiti API ali prenesti funkcionalnost v ločene kontejnerje. Za kriptografsko overitev celovitosti glavnega razdelka je vključen modul dm-verity, sistem pa se znova zažene v primeru odkritja poskusa spremembe podatkov na ravni blokovnega naprave.
Večina sistemskih komponent je napisana v jeziku Rust, ki nudi sredstva za varno delo z pomnilnikom, kar preprečuje ranljivosti, ki izhajajo iz dostopa do pomnilnika po njegovi osvoboditvi, dereferenciranja ničelnih kazalcev in prekoračenja meja pomnilniškega nabora. Pri privzetem sestavljanju se uporabljajo načini sestavljanja „—enable-default-pie“ in „—enable-default-ssp“ za vključitev naključnega naslovnega prostora izvršnih datotek (PIE) in zaščite pred prelivanjem sklada preko nadomestnih kanarčnih oznak. Za pakete, napisane v jeziku C/C++, se dodatno vključijo zastavice „-Wall“, „-Werror=format-security“, „-Wp,-D_FORTIFY_SOURCE=2“, „-Wp,-D_GLIBCXX_ASSERTIONS“ in „-fstack-clash-protection“.
U novom izdanju:
- Predlagani sta dva nova različna distribucijska paketa aws-k8s-1.20 in vmware-k8s-1.20 s podporo za Kubernetes 1.20. V teh različicah ter v posodobljeni različici aws-ecs-1 je vključen nova različica jedra Linux 5.10. Privzeta nastavitev načina lockdown je spremenjena v „integrity“ (onemogočene so možnosti, ki omogočajo spremembe delujočega jedra iz uporabniškega prostora). Podpora za različico aws-k8s-1.15, temelječo na Kubernetes 1.15, je prenehana.
- Za Amazon ECS je bila uvedena podpora za omrežni način awsvpc, ki omogoča dodelitev ločenih omrežnih vmesnikov in internih IP-naslove za vsako nalogo.
- Dodane so nastavitve za upravljanje različnih parametrov Kubernetes, vključno z QPS, omejitvami za sklade in možnostjo povezovanja z oblačnimi ponudniki, drugimi kot AWS.
- V bootstrap kontejnerju je omejen dostop do uporabniških podatkov z uporabo SELinux.
- Dodana je bila orodje resize2fs.
Izvor: opennet.ru
