ĂshtĂ« nĂ« dispozicion versioni 1.2.0 i dDistribution-it tĂ« Linux Bottlerocket, i zhvilluar nĂ« bashkĂ«punim me kompaninĂ« Amazon pĂ«r tĂ« nisur nĂ« mĂ«nyrĂ« efektive dhe tĂ« sigurt kontejnerĂ« tĂ« izoluar. Mjetet dhe komponentĂ«t e menaxhimit tĂ« distributions janĂ« shkruar nĂ« gjuhĂ«n Rust dhe shpĂ«rndahen nĂ«n licencat MIT dhe Apache 2.0. Bottlerocket mbĂ«shtet funkcionalitetin e pĂ«rdorimit nĂ« klastere Amazon ECS, VMware dhe AWS EKS Kubernetes, si dhe krijimin e ndĂ«rtimeve dhe edicionĂ«ve tĂ« ndryshĂ«m qĂ« lejojnĂ« pĂ«rdorimin e mjeteve tĂ« orkestrimit dhe runtime pĂ«r kontejnerĂ«t.
Shpërndarja ofron një imazh sistemik të pandarë dhe automatikisht të azhurnueshëm, që përmban bërthamën Linux dhe një ambient minimal sistemik, duke përfshirë vetëm komponentët e nevojshëm për ekzekutimin e konteinerëve. Në ambient janë të angazhuar menaxheri i sistemit systemd, biblioteka Glibc, mjeti i ndërtimit Buildroot, ngarkuesi GRUB, konfiguruesi i rrjetit wicked, runtime për konteinerë të izoluar containerd, platforma e orkestrimit të konteinerëve Kubernetes, autentifikuesi aws-iam-authenticator dhe agjenti Amazon ECS.
Veglat pĂ«r orkestrimin e kontejnerĂ«ve ofrohen nĂ« njĂ« kontejner tĂ« menaxhimit tĂ« dedikuar, i cili aktivizohet automatikisht dhe menaxhohet nĂ«pĂ«rmjet API dhe AWS SSM Agent. Imazhi bazĂ« nuk ka njĂ« shell komandash, server SSH dhe gjuhĂ«t interpretuese (p.sh., nuk ka Python ose Perl) â mjete pĂ«r administratorin dhe instrumentet e debugging janĂ« transferuar nĂ« njĂ« kontejner shĂ«rbimi tĂ« dedikuar, i cili Ă«shtĂ« i çaktivizuar nga default.
Dallimi kyç nga distribucione tĂ« ngjashme, si Fedora CoreOS, CentOS/Red Hat Atomic Host, Ă«shtĂ« orientimi fillestar drejt ofrimit tĂ« sigurisĂ« maksimale nĂ« kontekstin e rritjes sĂ« mbrojtjes sĂ« sistemit nga kĂ«rcĂ«nimet e mundshme, komplikuar tĂ« shfrytĂ«zimit tĂ« dobĂ«sive nĂ« komponentĂ«t e OS-sĂ« dhe rritjes sĂ« izolimit tĂ« kontejnerĂ«ve. KontejnerĂ«t krijohen me ndihmĂ«n e mekanizmave standard tĂ« bĂ«rthamĂ«s Linux â cgroups, hapĂ«sirat emĂ«rore dhe seccomp. PĂ«r izolim tĂ« mĂ«tejshĂ«m, nĂ« distribucion aplikohet SELinux nĂ« modin "enforcing".
KĂ«shtu, ndarja kryesore montrohet nĂ« mĂ«nyrĂ« vetĂ«m pĂ«r lexim, ndĂ«rsa ndarja me parametrat /etc montrohet nĂ« tmpfs dhe rikthen gjendjen e saj origjinale pas rinisjes. Ndryshimi direkt i skedareve nĂ« katalogun /etc, si /etc/resolv.conf dhe /etc/containerd/config.toml, nuk mbĂ«shtetet â pĂ«r ruajtjen e qĂ«ndrueshme tĂ« cilĂ«simeve, duhet pĂ«rdorur API ose tĂ« transferoni funksionalitetin nĂ« konteinerĂ« tĂ« veçantĂ«. PĂ«r verifikimin kriptografik tĂ« integritetit tĂ« ndarjes kryesore pĂ«rdoret moduli dm-verity, dhe nĂ« rast tĂ« zbulimit tĂ« njĂ« pĂ«rpjekjeje pĂ«r tĂ« modifikuar tĂ« dhĂ«nat nĂ« nivelin e pajisjes bllokuese, sistemi rinstalohet.
Shumica e komponenteve sistemore janë shkruar në gjuhën Rust, që ofron mjete për punë të sigurt me memorie, duke shmangur dobësitë e shkaktuara nga qasja në zonat e memories pas lirimit të saj, dereferencimin e treguesve null dhe daljen përtej kufijve të tamponëve. Gjatë ndërtimit me parametra të paracaktuar, përdoren modet e kompilimit "--enable-default-pie" dhe "--enable-default-ssp" për të mundësuar randomizimin e adresës së hapësirës së skedarëve ekzekutues (PIE) dhe mbrojtjen nga mbipleshja e stack-ut përmes zëvendësimit të etiketave kanarinë. Për paketat e shkruara në gjuhën C/C++, përfshihen gjithashtu flamujt "-Wall", "-Werror=format-security", "-Wp,-D_FORTIFY_SOURCE=2", "-Wp,-D_GLIBCXX_ASSERTIONS" dhe "-fstack-clash-protection".
Në lëshimin e ri:
- Shtohet mbështetje për pasqyrat e regjistrove të imazheve të kontejnerëve.
- Shtohet mundësia për të përdorur certifikatat e vetë-nënshkruara.
- Shtohet parametri për konfigurimin e emrit të host-it.
- Përditësohet versioni i kontejnerit administrativ që ofrohet si standard.
- Shtohen cilësimet topologyManagerPolicy dhe topologyManagerScope për kubelet.
- Shtohet mbështetje për kompresimin e kernelit duke përdorur algoritmin zstd.
- Ofrohet mundësia e ngarkimit në VMware makinave virtuale në formatin OVA (Open Virtualization Format).
- Përditësohet varianti i distributions aws-k8s-1.21 me mbështetje për Kubernetes 1.21. Mbështetja për aws-k8s-1.16 është ndaluar.
- Përditësohen versionet e pakove dhe varësive për gjuhën Rust.
Burimi: opennet.ru
