{"id":101560,"date":"2021-10-07T10:23:00","date_gmt":"2021-10-07T08:23:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-bottlerocket-1-3-distributiva-na-baze-izolirovannyh-kontejnerov"},"modified":"2021-10-07T10:23:00","modified_gmt":"2021-10-07T08:23:00","slug":"vypusk-bottlerocket-1-3-distributiva-na-baze-izolirovannyh-kontejnerov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sq\/blog\/novosti-interneta\/vypusk-bottlerocket-1-3-distributiva-na-baze-izolirovannyh-kontejnerov","title":{"rendered":"L\u00ebshimi i Bottlerocket 1.3, nj\u00eb shp\u00ebrndarje e bazuar n\u00eb konteiner\u00eb t\u00eb izoluar","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\u00cbsht\u00eb publikuar versioni 1.3.0 i distribucionit Linux Bottlerocket, i zhvilluar n\u00eb bashk\u00ebpunim me kompanin\u00eb Amazon p\u00ebr nj\u00eb lan\u00e7im efikas dhe t\u00eb sigurt t\u00eb konteiner\u00ebve t\u00eb izoluar. Instrumentet dhe komponent\u00ebt menaxher t\u00eb distribucionit jan\u00eb shkruar n\u00eb gjuh\u00ebn Rust dhe shp\u00ebrndahen n\u00ebn licencat MIT dhe Apache 2.0. Bottlerocket mb\u00ebshtet ekzekutimin n\u00eb klaster\u00ebt Amazon ECS, VMware dhe AWS EKS Kubernetes, si dhe krijimin e nd\u00ebrtimeve dhe redakteve t\u00eb personalizuara q\u00eb lejojn\u00eb p\u00ebrdorimin e mjeteve t\u00eb ndryshme t\u00eb orkestrimit dhe runtime p\u00ebr konteiner\u00ebt. <\/p>\n

Shp\u00ebrndarja ofron nj\u00eb imazh sistemik t\u00eb pandar\u00eb dhe automatikisht t\u00eb azhurnuesh\u00ebm, q\u00eb p\u00ebrmban b\u00ebrtham\u00ebn Linux dhe nj\u00eb ambient minimal sistemik, duke p\u00ebrfshir\u00eb vet\u00ebm komponent\u00ebt e nevojsh\u00ebm p\u00ebr ekzekutimin e konteiner\u00ebve. N\u00eb ambient jan\u00eb t\u00eb angazhuar menaxheri i sistemit systemd, biblioteka Glibc, mjeti i nd\u00ebrtimit Buildroot, ngarkuesi GRUB, konfiguruesi i rrjetit wicked, runtime p\u00ebr konteiner\u00eb t\u00eb izoluar containerd, platforma e orkestrimit t\u00eb konteiner\u00ebve Kubernetes, autentifikuesi aws-iam-authenticator dhe agjenti Amazon ECS. <\/p>\n

Veglat p\u00ebr orkestrimin e kontejner\u00ebve ofrohen n\u00eb nj\u00eb kontejner t\u00eb menaxhimit t\u00eb dedikuar, i cili aktivizohet automatikisht dhe menaxhohet n\u00ebp\u00ebrmjet API dhe AWS SSM Agent. Imazhi baz\u00eb nuk ka nj\u00eb shell komandash, server<\/a> SSH dhe gjuh\u00ebt e interpretuara (p.sh., jo Python apo Perl) \u2014 mjete p\u00ebr administrator\u00eb dhe instrumente p\u00ebr debugging jan\u00eb t\u00eb nxjerra n\u00eb nj\u00eb kontejner t\u00eb ve\u00e7ant\u00eb sh\u00ebrbimi, i cili \u00ebsht\u00eb i \u00e7aktivizuar si parazgjedhje. <\/p>\n

Dallimi kryesor nga distribucionet e ngjashme, si Fedora CoreOS dhe CentOS\/Red Hat Atomic Host, \u00ebsht\u00eb orientimi fillestar drejt ofrimit t\u00eb siguris\u00eb maksimale n\u00eb kontekstin e p\u00ebrforcimit t\u00eb mbrojtjes s\u00eb sistemit nga k\u00ebrc\u00ebnime t\u00eb mundshme, komplikuar shfryt\u00ebzimin e dob\u00ebsive n\u00eb komponent\u00ebt e OS dhe rritjen e izollat\u00ebs s\u00eb kontejner\u00ebve. Kontejner\u00ebt krijohen duke p\u00ebrdorur mekanizmat standard t\u00eb b\u00ebrtham\u00ebs Linux \u2014 cgroups, hap\u00ebsira em\u00ebrtimi dhe seccomp. P\u00ebr izolim suplementar, n\u00eb distribucion aplikohet SELinux n\u00eb modin 'enforcing'. <\/p>\n

Pjesa rr\u00ebnj\u00ebsore montohet n\u00eb modin vet\u00ebm p\u00ebr lexim, nd\u00ebrsa pjesa e konfigurimeve \/etc montohet n\u00eb tmpfs dhe rikthen gjendjen e saj t\u00eb origjin\u00ebs pas ri-nisjes. Ndryshimi i drejtp\u00ebrdrejt\u00eb i skedareve n\u00eb katalografin\u00eb \/etc, si \/etc\/resolv.conf dhe \/etc\/containerd\/config.toml, nuk mb\u00ebshtetet \u2014 p\u00ebr ruajtjen e p\u00ebrhershme t\u00eb konfigurimeve duhet t\u00eb p\u00ebrdoret API ose t\u00eb nxirren funksionalitetet n\u00eb kontejner\u00eb t\u00eb ve\u00e7ant\u00eb. P\u00ebr verifikimin kriptografik t\u00eb integritetit t\u00eb pjes\u00ebs rr\u00ebnj\u00ebsore p\u00ebrdoret moduli dm-verity, dhe n\u00eb rast t\u00eb zbulimit t\u00eb p\u00ebrpjekjeve p\u00ebr modifikim t\u00eb t\u00eb dh\u00ebnave n\u00eb nivelin e pajisjes bllokuese, sistemi ri-niset. <\/p>\n

Shumica e komponent\u00ebve sistemik\u00eb jan\u00eb shkruar n\u00eb gjuh\u00ebn Rust, q\u00eb ofron mjete p\u00ebr pun\u00eb t\u00eb sigurt me memorie, duke shmangur dob\u00ebsit\u00eb q\u00eb shkaktohen nga qasja n\u00eb zonat e memories pas lirimit t\u00eb saj, dereferencimi i treguesve null dhe kalimi p\u00ebrtej kufijve t\u00eb tampon\u00ebve. Gjat\u00eb nd\u00ebrtimit, p\u00ebr parazgjedhje aplikohet modet e kompilimit '--enable-default-pie' dhe '--enable-default-ssp' p\u00ebr t\u00eb aktivizuar rast\u00ebsin\u00eb e hap\u00ebsir\u00ebs adresuese t\u00eb skedar\u00ebve ekzekutiv (PIE) dhe mbrojtjen nga shfryt\u00ebzimi i tamponit p\u00ebrmes vendosjes s\u00eb etiketave kanar. P\u00ebr pakot e shkruara n\u00eb gjuh\u00ebt C\/C++, gjithashtu p\u00ebrfshihen flamujt '-Wall', '-Werror=format-security', '-Wp,-D_FORTIFY_SOURCE=2', '-Wp,-D_GLIBCXX_ASSERTIONS' dhe '-fstack-clash-protection'. <\/p>\n

N\u00eb l\u00ebshimin e ri: <\/p>\n