Uppsläpp av Bottlerocket 1.1, en distribution som baseras på isolerade containrar.

Utgåvan av Linux-distributionen Bottlerocket 1.1.0 är tillgänglig, utvecklad i samarbete med Amazon för effektiv och säker körning av isolerade containrar. Verktygen och styrkomponenterna i distributionen är skrivna i Rust och distribueras under licenserna MIT och Apache 2.0. Bottlerocket kan köras i Amazon ECS-kluster och AWS EKS Kubernetes, samt möjlighet att skapa anpassade byggen och varianter som tillåter användning av olika orkestreringsverktyg och runtime för containrar.

Distributionen erbjuder en atomär och automatiskt uppdaterad odelbar systembild som inkluderar Linux-kärnan och en minimal systemmiljö, som innehåller endast de komponenter som krävs för att starta containrar. I miljön används systemhanteraren systemd, biblioteket Glibc, byggverktyget Buildroot, bootloadern GRUB, nätverkskonfiguratorn wicked, runtime för isolerade containrar containerd, orkestreringsplattformen Kubernetes, autentiseraren aws-iam-authenticator och Amazon ECS-agent.

Verktyg för orkestrering av containrar levereras i en separat styrcontainer, som aktiveras som standard och hanteras via API och AWS SSM Agent. Den grundläggande bilden saknar kommandotolk, server SSH och tolkade språk (t.ex. finns det varken Python eller Perl) – administratörsverktyg och felsökningsverktyg har flyttats till en separat tjänstecontainer, som är inaktiverad som standard.

En nyckelförändring jämfört med liknande distributioner, som Fedora CoreOS och CentOS/Red Hat Atomic Host, är den primära inriktningen på att erbjuda maximal säkerhet i sammanhanget av att stärka skyddet av systemet mot möjliga hot, komplicera utnyttjande av sårbarheter i operativsystemets komponenter och öka isoleringen av containrar. Containrar skapas med hjälp av de inbyggda mekanismerna i Linux-kärnan – cgroups, namnrymder och seccomp. För ytterligare isolering tillämpas SELinux i läget "enforcing".

Rot partitions are mounted in read-only mode, while the settings partition /etc is mounted in tmpfs and restores its original state after a reboot. Direct changes to files in the /etc directory, such as /etc/resolv.conf and /etc/containerd/config.toml, are not supported — to permanently save settings, use the API or isolate the functionality into separate containers. A dm-verity module is utilized for cryptographic verification of the root partition's integrity, and if any data modification attempts are detected at the block device level, the system will reboot.

Most system components are written in Rust, providing tools for safe memory operations that help avoid vulnerabilities caused by accessing memory areas after they have been freed, dereferencing null pointers, and buffer overflows. The default build modes apply "—enable-default-pie" and "—enable-default-ssp" to enable the Address Space Layout Randomization (ASLR) for executable files (PIE) and protect against stack overflow through canary substitution. For packages written in C/C++, additional flags "-Wall", "-Werror=format-security", "-Wp,-D_FORTIFY_SOURCE=2", "-Wp,-D_GLIBCXX_ASSERTIONS", and "-fstack-clash-protection" are included.

I den nya utgåvan:

• Två nya varianter av distributionen aws-k8s-1.20 och vmware-k8s-1.20 med stöd för Kubernetes 1.20 har föreslagits. I dessa varianter, liksom i den uppdaterade varianten aws-ecs-1, används en ny utgåva av kärnan i Linux 5.10. Lockdown-läget har som standard ändrats till 'integrity' (möjligheterna att göra ändringar i det körande kärnan från användarutrymmet blockeras). Stödet för varianten aws-k8s-1.15 baserad på Kubernetes 1.15 har upphört.
• För Amazon ECS har stödet för nätverksläget awsvpc implementerats, vilket tillåter tilldelning av separata nätverksgränssnitt och interna IP-adresser för varje uppgift.
• Inställningar har lagts till för att hantera olika Kubernetes-parametrar, inklusive QPS, gränser för pooler och möjlighet att ansluta till molnleverantörer som inte är AWS.
• I bootstrap-containern har tillgången till användardata begränsats med hjälp av SELinux.
• Verktyget resize2fs har lagts till.

Källa: opennet.ru