ĂshtĂ« publikuar versioni 1.3.0 i distribucionit Linux Bottlerocket, i zhvilluar nĂ« bashkĂ«punim me kompaninĂ« Amazon pĂ«r njĂ« lançim efikas dhe tĂ« sigurt tĂ« konteinerĂ«ve tĂ« izoluar. Instrumentet dhe komponentĂ«t menaxher tĂ« distribucionit janĂ« shkruar nĂ« gjuhĂ«n Rust dhe shpĂ«rndahen nĂ«n licencat MIT dhe Apache 2.0. Bottlerocket mbĂ«shtet ekzekutimin nĂ« klasterĂ«t Amazon ECS, VMware dhe AWS EKS Kubernetes, si dhe krijimin e ndĂ«rtimeve dhe redakteve tĂ« personalizuara qĂ« lejojnĂ« pĂ«rdorimin e mjeteve tĂ« ndryshme tĂ« orkestrimit dhe runtime pĂ«r konteinerĂ«t.
Shpërndarja ofron një imazh sistemik të pandarë dhe automatikisht të azhurnueshëm, që përmban bërthamën Linux dhe një ambient minimal sistemik, duke përfshirë vetëm komponentët e nevojshëm për ekzekutimin e konteinerëve. Në ambient janë të angazhuar menaxheri i sistemit systemd, biblioteka Glibc, mjeti i ndërtimit Buildroot, ngarkuesi GRUB, konfiguruesi i rrjetit wicked, runtime për konteinerë të izoluar containerd, platforma e orkestrimit të konteinerëve Kubernetes, autentifikuesi aws-iam-authenticator dhe agjenti Amazon ECS.
Veglat pĂ«r orkestrimin e kontejnerĂ«ve ofrohen nĂ« njĂ« kontejner tĂ« menaxhimit tĂ« dedikuar, i cili aktivizohet automatikisht dhe menaxhohet nĂ«pĂ«rmjet API dhe AWS SSM Agent. Imazhi bazĂ« nuk ka njĂ« shell komandash, server SSH dhe gjuhĂ«t interpretuese (p.sh., nuk ka Python ose Perl) â mjete pĂ«r administratorin dhe instrumentet e debugging janĂ« transferuar nĂ« njĂ« kontejner shĂ«rbimi tĂ« dedikuar, i cili Ă«shtĂ« i çaktivizuar nga default.
Dallimi kyç nga distribucione tĂ« ngjashme, si Fedora CoreOS, CentOS/Red Hat Atomic Host, Ă«shtĂ« orientimi fillestar drejt ofrimit tĂ« sigurisĂ« maksimale nĂ« kontekstin e rritjes sĂ« mbrojtjes sĂ« sistemit nga kĂ«rcĂ«nimet e mundshme, komplikuar tĂ« shfrytĂ«zimit tĂ« dobĂ«sive nĂ« komponentĂ«t e OS-sĂ« dhe rritjes sĂ« izolimit tĂ« kontejnerĂ«ve. KontejnerĂ«t krijohen me ndihmĂ«n e mekanizmave standard tĂ« bĂ«rthamĂ«s Linux â cgroups, hapĂ«sirat emĂ«rore dhe seccomp. PĂ«r izolim tĂ« mĂ«tejshĂ«m, nĂ« distribucion aplikohet SELinux nĂ« modin "enforcing".
KĂ«shtu, ndarja kryesore montrohet nĂ« mĂ«nyrĂ« vetĂ«m pĂ«r lexim, ndĂ«rsa ndarja me parametrat /etc montrohet nĂ« tmpfs dhe rikthen gjendjen e saj origjinale pas rinisjes. Ndryshimi direkt i skedareve nĂ« katalogun /etc, si /etc/resolv.conf dhe /etc/containerd/config.toml, nuk mbĂ«shtetet â pĂ«r ruajtjen e qĂ«ndrueshme tĂ« cilĂ«simeve, duhet pĂ«rdorur API ose tĂ« transferoni funksionalitetin nĂ« konteinerĂ« tĂ« veçantĂ«. PĂ«r verifikimin kriptografik tĂ« integritetit tĂ« ndarjes kryesore pĂ«rdoret moduli dm-verity, dhe nĂ« rast tĂ« zbulimit tĂ« njĂ« pĂ«rpjekjeje pĂ«r tĂ« modifikuar tĂ« dhĂ«nat nĂ« nivelin e pajisjes bllokuese, sistemi rinstalohet.
Shumica e komponenteve sistemore janë shkruar në gjuhën Rust, që ofron mjete për punë të sigurt me memorie, duke shmangur dobësitë e shkaktuara nga qasja në zonat e memories pas lirimit të saj, dereferencimin e treguesve null dhe daljen përtej kufijve të tamponëve. Gjatë ndërtimit me parametra të paracaktuar, përdoren modet e kompilimit "--enable-default-pie" dhe "--enable-default-ssp" për të mundësuar randomizimin e adresës së hapësirës së skedarëve ekzekutues (PIE) dhe mbrojtjen nga mbipleshja e stack-ut përmes zëvendësimit të etiketave kanarinë. Për paketat e shkruara në gjuhën C/C++, përfshihen gjithashtu flamujt "-Wall", "-Werror=format-security", "-Wp,-D_FORTIFY_SOURCE=2", "-Wp,-D_GLIBCXX_ASSERTIONS" dhe "-fstack-clash-protection".
Në lëshimin e ri:
- Janë eliminuar vulnerabilitetet në mjetin docker dhe runtime containerd (CVE-2021-41089, CVE-2021-41091, CVE-2021-41092, CVE-2021-41103), që ishin të lidhura me vendosjen e gabuar të të drejtave të aksesit, duke lejuar përdoruesit e pa privilegjuar të tejkalojnë direktorin bazë dhe të ekzekutojnë programe të jashtme.
- Në kubelet dhe pluto është shtuar mbështetje IPv6.
- është ofruar mundësia për të rilëshuar konteinerin pas ndryshimit të konfigurimeve të tij.
- Në paketën eni-max-pods është shtuar mbështetje për instancat Amazon EC2 M6i.
- Në open-vm-tools është shtuar mbështetje për filtrat e pajisjeve, e cila realizohet mbi bazën e mjeteve Cilium.
- Për platformën x86_64 është realizuar një mod hibrid ngarkimi (me mbështetje për EFI dhe BIOS).
- Përditësohen versionet e pakove dhe varësive për gjuhën Rust.
- ĂshtĂ« ndĂ«rprerĂ« mbĂ«shtetja pĂ«r variantin e distribucionit aws-k8s-1.17 mbi bazĂ«n e Kubernetes 1.17. Rekomandohet tĂ« pĂ«rdoret varianti aws-k8s-1.21 me mbĂ«shtetje pĂ«r Kubernetes 1.21. NĂ« variantet k8s janĂ« aktivizuar cilĂ«simet cgroup runtime.slice dhe system.slice.
Burimi: opennet.ru
