Versioni i shpërndarjes Linux Bottlerocket 1.1.0 është në dispozicion, i zhvilluar në bashkëpunim me kompaninë Amazon për të lançuar në mënyrë efikase dhe të sigurt konteinerë të izoluar. Mjeti dhe komponentët e menaxhimit të shpërndarjes janë shkruar në gjuhën Rust dhe shpërndahen nën licencat MIT dhe Apache 2.0. Bottlerocket mbështet ekzekutimin në grupe Amazon ECS dhe AWS EKS Kubernetes, si dhe krijimin e ndërtimeve dhe varianteve të rastësishme që lejojnë përdorimin e mjeteve të ndryshme të orkestrimit dhe runtime për konteinerë.
Shpërndarja ofron një imazh sistemik të pandarë dhe automatikisht të azhurnueshëm, që përmban bërthamën Linux dhe një ambient minimal sistemik, duke përfshirë vetëm komponentët e nevojshëm për ekzekutimin e konteinerëve. Në ambient janë të angazhuar menaxheri i sistemit systemd, biblioteka Glibc, mjeti i ndërtimit Buildroot, ngarkuesi GRUB, konfiguruesi i rrjetit wicked, runtime për konteinerë të izoluar containerd, platforma e orkestrimit të konteinerëve Kubernetes, autentifikuesi aws-iam-authenticator dhe agjenti Amazon ECS.
Veglat pĂ«r orkestrimin e kontejnerĂ«ve ofrohen nĂ« njĂ« kontejner tĂ« menaxhimit tĂ« dedikuar, i cili aktivizohet automatikisht dhe menaxhohet nĂ«pĂ«rmjet API dhe AWS SSM Agent. Imazhi bazĂ« nuk ka njĂ« shell komandash, server SSH dhe gjuhĂ«t interpretuese (p.sh., nuk ka Python ose Perl) â mjete pĂ«r administratorin dhe instrumentet e debugging janĂ« transferuar nĂ« njĂ« kontejner shĂ«rbimi tĂ« dedikuar, i cili Ă«shtĂ« i çaktivizuar nga default.
Dallimi kyç nga distribucione tĂ« ngjashme, si Fedora CoreOS, CentOS/Red Hat Atomic Host, Ă«shtĂ« orientimi fillestar drejt ofrimit tĂ« sigurisĂ« maksimale nĂ« kontekstin e rritjes sĂ« mbrojtjes sĂ« sistemit nga kĂ«rcĂ«nimet e mundshme, komplikuar tĂ« shfrytĂ«zimit tĂ« dobĂ«sive nĂ« komponentĂ«t e OS-sĂ« dhe rritjes sĂ« izolimit tĂ« kontejnerĂ«ve. KontejnerĂ«t krijohen me ndihmĂ«n e mekanizmave standard tĂ« bĂ«rthamĂ«s Linux â cgroups, hapĂ«sirat emĂ«rore dhe seccomp. PĂ«r izolim tĂ« mĂ«tejshĂ«m, nĂ« distribucion aplikohet SELinux nĂ« modin "enforcing".
KĂ«shtu, ndarja kryesore montrohet nĂ« mĂ«nyrĂ« vetĂ«m pĂ«r lexim, ndĂ«rsa ndarja me parametrat /etc montrohet nĂ« tmpfs dhe rikthen gjendjen e saj origjinale pas rinisjes. Ndryshimi direkt i skedareve nĂ« katalogun /etc, si /etc/resolv.conf dhe /etc/containerd/config.toml, nuk mbĂ«shtetet â pĂ«r ruajtjen e qĂ«ndrueshme tĂ« cilĂ«simeve, duhet pĂ«rdorur API ose tĂ« transferoni funksionalitetin nĂ« konteinerĂ« tĂ« veçantĂ«. PĂ«r verifikimin kriptografik tĂ« integritetit tĂ« ndarjes kryesore pĂ«rdoret moduli dm-verity, dhe nĂ« rast tĂ« zbulimit tĂ« njĂ« pĂ«rpjekjeje pĂ«r tĂ« modifikuar tĂ« dhĂ«nat nĂ« nivelin e pajisjes bllokuese, sistemi rinstalohet.
Shumica e komponenteve sistemore janë shkruar në gjuhën Rust, që ofron mjete për punë të sigurt me memorie, duke shmangur dobësitë e shkaktuara nga qasja në zonat e memories pas lirimit të saj, dereferencimin e treguesve null dhe daljen përtej kufijve të tamponëve. Gjatë ndërtimit me parametra të paracaktuar, përdoren modet e kompilimit "--enable-default-pie" dhe "--enable-default-ssp" për të mundësuar randomizimin e adresës së hapësirës së skedarëve ekzekutues (PIE) dhe mbrojtjen nga mbipleshja e stack-ut përmes zëvendësimit të etiketave kanarinë. Për paketat e shkruara në gjuhën C/C++, përfshihen gjithashtu flamujt "-Wall", "-Werror=format-security", "-Wp,-D_FORTIFY_SOURCE=2", "-Wp,-D_GLIBCXX_ASSERTIONS" dhe "-fstack-clash-protection".
Në lëshimin e ri:
- JanĂ« propozuar dy variante tĂ« reja tĂ« distribucionit aws-k8s-1.20 dhe vmware-k8s-1.20 me mbĂ«shtetje pĂ«r Kubernetes 1.20. NĂ« kĂ«to variante, si dhe nĂ« variantin e pĂ«rditĂ«suar aws-ecs-1, Ă«shtĂ« pĂ«rdorur njĂ« lĂ«shim i ri i bĂ«rthamĂ«s Linux 5.10. ReĆŸimi lockdown nĂ« parametrat e paracaktuar Ă«shtĂ« kaluar nĂ« vlerĂ«n "integrity" (bllokohen mundĂ«sitĂ« pĂ«r tĂ« bĂ«rĂ« ndryshime nĂ« bĂ«rthamĂ«n e punĂ«s nga hapĂ«sira e pĂ«rdoruesit). MbĂ«shtetja pĂ«r variantin aws-k8s-1.15 tĂ« bazuar nĂ« Kubernetes 1.15 Ă«shtĂ« ndĂ«rprerĂ«.
- Për Amazon ECS është implementuar mbështetje për modin rrjetë awsvpc, i cili lejon ndarjen e ndërfaqeve të veçanta rrjetë dhe të brendshme adresat IP për secilën detyrë.
- Shtohen cilësime për menaxhimin e parametrave të ndryshëm të Kubernetes, duke përfshirë QPS, kufijtë në grupe dhe mundësinë e lidhjes me ofrues të tjerë të shërbimeve në cloud përveç AWS.
- Në kontejnerin bootstrap është siguruar kufizimi i aksesit në të dhënat e përdoruesit përmes SELinux.
- është shtuar utilitarja resize2fs.
Burimi: opennet.ru
