{"id":100944,"date":"2021-08-08T16:22:42","date_gmt":"2021-08-08T14:22:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-bottlerocket-1-2-distributiva-na-baze-izolirovannyh-kontejnerov"},"modified":"2021-08-08T16:22:42","modified_gmt":"2021-08-08T14:22:42","slug":"vypusk-bottlerocket-1-2-distributiva-na-baze-izolirovannyh-kontejnerov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sq\/blog\/novosti-interneta\/vypusk-bottlerocket-1-2-distributiva-na-baze-izolirovannyh-kontejnerov","title":{"rendered":"L\u00ebshimi Bottlerocket 1.2, shp\u00ebrndarja bazuar n\u00eb konteiner t\u00eb izoluar","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\u00cbsht\u00eb n\u00eb dispozicion versioni 1.2.0 i dDistribution-it t\u00eb Linux Bottlerocket, i zhvilluar n\u00eb bashk\u00ebpunim me kompanin\u00eb Amazon p\u00ebr t\u00eb nisur n\u00eb m\u00ebnyr\u00eb efektive dhe t\u00eb sigurt kontejner\u00eb t\u00eb izoluar. Mjetet dhe komponent\u00ebt e menaxhimit t\u00eb distributions jan\u00eb shkruar n\u00eb gjuh\u00ebn Rust dhe shp\u00ebrndahen n\u00ebn licencat MIT dhe Apache 2.0. Bottlerocket mb\u00ebshtet funkcionalitetin e p\u00ebrdorimit n\u00eb klastere Amazon ECS, VMware dhe AWS EKS Kubernetes, si dhe krijimin e nd\u00ebrtimeve dhe edicion\u00ebve t\u00eb ndrysh\u00ebm q\u00eb lejojn\u00eb p\u00ebrdorimin e mjeteve t\u00eb orkestrimit dhe runtime p\u00ebr kontejner\u00ebt. <\/p>\n

Shp\u00ebrndarja ofron nj\u00eb imazh sistemik t\u00eb pandar\u00eb dhe automatikisht t\u00eb azhurnuesh\u00ebm, q\u00eb p\u00ebrmban b\u00ebrtham\u00ebn Linux dhe nj\u00eb ambient minimal sistemik, duke p\u00ebrfshir\u00eb vet\u00ebm komponent\u00ebt e nevojsh\u00ebm p\u00ebr ekzekutimin e konteiner\u00ebve. N\u00eb ambient jan\u00eb t\u00eb angazhuar menaxheri i sistemit systemd, biblioteka Glibc, mjeti i nd\u00ebrtimit Buildroot, ngarkuesi GRUB, konfiguruesi i rrjetit wicked, runtime p\u00ebr konteiner\u00eb t\u00eb izoluar containerd, platforma e orkestrimit t\u00eb konteiner\u00ebve Kubernetes, autentifikuesi aws-iam-authenticator dhe agjenti Amazon ECS. <\/p>\n

Veglat p\u00ebr orkestrimin e kontejner\u00ebve ofrohen n\u00eb nj\u00eb kontejner t\u00eb menaxhimit t\u00eb dedikuar, i cili aktivizohet automatikisht dhe menaxhohet n\u00ebp\u00ebrmjet API dhe AWS SSM Agent. Imazhi baz\u00eb nuk ka nj\u00eb shell komandash, server<\/a> SSH dhe gjuh\u00ebt e interpretuara (p.sh., jo Python apo Perl) \u2014 mjete p\u00ebr administrator\u00eb dhe instrumente p\u00ebr debugging jan\u00eb t\u00eb nxjerra n\u00eb nj\u00eb kontejner t\u00eb ve\u00e7ant\u00eb sh\u00ebrbimi, i cili \u00ebsht\u00eb i \u00e7aktivizuar si parazgjedhje. <\/p>\n

Dallimi kryesor nga distribucionet e ngjashme, si Fedora CoreOS dhe CentOS\/Red Hat Atomic Host, \u00ebsht\u00eb orientimi fillestar drejt ofrimit t\u00eb siguris\u00eb maksimale n\u00eb kontekstin e p\u00ebrforcimit t\u00eb mbrojtjes s\u00eb sistemit nga k\u00ebrc\u00ebnime t\u00eb mundshme, komplikuar shfryt\u00ebzimin e dob\u00ebsive n\u00eb komponent\u00ebt e OS dhe rritjen e izollat\u00ebs s\u00eb kontejner\u00ebve. Kontejner\u00ebt krijohen duke p\u00ebrdorur mekanizmat standard t\u00eb b\u00ebrtham\u00ebs Linux \u2014 cgroups, hap\u00ebsira em\u00ebrtimi dhe seccomp. P\u00ebr izolim suplementar, n\u00eb distribucion aplikohet SELinux n\u00eb modin 'enforcing'. <\/p>\n

Pjesa rr\u00ebnj\u00ebsore montohet n\u00eb modin vet\u00ebm p\u00ebr lexim, nd\u00ebrsa pjesa e konfigurimeve \/etc montohet n\u00eb tmpfs dhe rikthen gjendjen e saj t\u00eb origjin\u00ebs pas ri-nisjes. Ndryshimi i drejtp\u00ebrdrejt\u00eb i skedareve n\u00eb katalografin\u00eb \/etc, si \/etc\/resolv.conf dhe \/etc\/containerd\/config.toml, nuk mb\u00ebshtetet \u2014 p\u00ebr ruajtjen e p\u00ebrhershme t\u00eb konfigurimeve duhet t\u00eb p\u00ebrdoret API ose t\u00eb nxirren funksionalitetet n\u00eb kontejner\u00eb t\u00eb ve\u00e7ant\u00eb. P\u00ebr verifikimin kriptografik t\u00eb integritetit t\u00eb pjes\u00ebs rr\u00ebnj\u00ebsore p\u00ebrdoret moduli dm-verity, dhe n\u00eb rast t\u00eb zbulimit t\u00eb p\u00ebrpjekjeve p\u00ebr modifikim t\u00eb t\u00eb dh\u00ebnave n\u00eb nivelin e pajisjes bllokuese, sistemi ri-niset. <\/p>\n

Shumica e komponent\u00ebve sistemik\u00eb jan\u00eb shkruar n\u00eb gjuh\u00ebn Rust, q\u00eb ofron mjete p\u00ebr pun\u00eb t\u00eb sigurt me memorie, duke shmangur dob\u00ebsit\u00eb q\u00eb shkaktohen nga qasja n\u00eb zonat e memories pas lirimit t\u00eb saj, dereferencimi i treguesve null dhe kalimi p\u00ebrtej kufijve t\u00eb tampon\u00ebve. Gjat\u00eb nd\u00ebrtimit, p\u00ebr parazgjedhje aplikohet modet e kompilimit '--enable-default-pie' dhe '--enable-default-ssp' p\u00ebr t\u00eb aktivizuar rast\u00ebsin\u00eb e hap\u00ebsir\u00ebs adresuese t\u00eb skedar\u00ebve ekzekutiv (PIE) dhe mbrojtjen nga shfryt\u00ebzimi i tamponit p\u00ebrmes vendosjes s\u00eb etiketave kanar. P\u00ebr pakot e shkruara n\u00eb gjuh\u00ebt C\/C++, gjithashtu p\u00ebrfshihen flamujt '-Wall', '-Werror=format-security', '-Wp,-D_FORTIFY_SOURCE=2', '-Wp,-D_GLIBCXX_ASSERTIONS' dhe '-fstack-clash-protection'. <\/p>\n

N\u00eb l\u00ebshimin e ri: <\/p>\n