Bottlerocket 1.8, en distribution baserad på isolerade containrar, är tillgänglig

Version 1.8.0 av Linux-distributionen Bottlerocket har publicerats, utvecklad med deltagande av företaget Amazon för effektiv och säker körning av isolerade containrar. Verktygen och de styrande komponenterna i distributionen är skrivna i Rust och distribueras under MIT- och Apache 2.0-licenserna. Bottlerocket stöder körning i Amazon ECS-kluster, VMware och AWS EKS Kubernetes, samt skapandet av anpassade bygger och utgåvor som tillåter användning av olika orkestreringsverktyg och runtime för containrar.

Distributionen erbjuder en atomär och automatiskt uppdaterad odelbar systembild som inkluderar Linux-kärnan och en minimal systemmiljö, som innehåller endast de komponenter som krävs för att starta containrar. I miljön används systemhanteraren systemd, biblioteket Glibc, byggverktyget Buildroot, bootloadern GRUB, nätverkskonfiguratorn wicked, runtime för isolerade containrar containerd, orkestreringsplattformen Kubernetes, autentiseraren aws-iam-authenticator och Amazon ECS-agent.

Verktyg för orkestrering av containrar levereras i en separat styrcontainer, som aktiveras som standard och hanteras via API och AWS SSM Agent. Den grundläggande bilden saknar kommandotolk, server SSH och tolkade språk (t.ex. finns det varken Python eller Perl) – administratörsverktyg och felsökningsverktyg har flyttats till en separat tjänstecontainer, som är inaktiverad som standard.

En nyckelförändring jämfört med liknande distributioner, som Fedora CoreOS och CentOS/Red Hat Atomic Host, är den primära inriktningen på att erbjuda maximal säkerhet i sammanhanget av att stärka skyddet av systemet mot möjliga hot, komplicera utnyttjande av sårbarheter i operativsystemets komponenter och öka isoleringen av containrar. Containrar skapas med hjälp av de inbyggda mekanismerna i Linux-kärnan – cgroups, namnrymder och seccomp. För ytterligare isolering tillämpas SELinux i läget "enforcing".

Rot partitions are mounted in read-only mode, while the settings partition /etc is mounted in tmpfs and restores its original state after a reboot. Direct changes to files in the /etc directory, such as /etc/resolv.conf and /etc/containerd/config.toml, are not supported — to permanently save settings, use the API or isolate the functionality into separate containers. A dm-verity module is utilized for cryptographic verification of the root partition's integrity, and if any data modification attempts are detected at the block device level, the system will reboot.

Most system components are written in Rust, providing tools for safe memory operations that help avoid vulnerabilities caused by accessing memory areas after they have been freed, dereferencing null pointers, and buffer overflows. The default build modes apply "—enable-default-pie" and "—enable-default-ssp" to enable the Address Space Layout Randomization (ASLR) for executable files (PIE) and protect against stack overflow through canary substitution. For packages written in C/C++, additional flags "-Wall", "-Werror=format-security", "-Wp,-D_FORTIFY_SOURCE=2", "-Wp,-D_GLIBCXX_ASSERTIONS", and "-fstack-clash-protection" are included.

I den nya utgåvan:

• Administrativa och styrande containrar har uppdaterats.
• Runtime för isolerade containrar har uppdaterats till containerd 1.6.x.
• Återstart av bakgrundsprocesser som koordinerar containrar har säkerställts efter förändringar i certifikatlagringen.
• Möjligheten att ställa in kärnans boot-parametrar via Boot Configuration-sektionen har tillhandahållits.
• Ignorering av tomma block vid kontroll av integriteten hos root-partitionen genom dm-verity har aktiverats.
• Möjligheten att statiskt binda värdnamn i /etc/hosts har lagts till.
• Möjligheten att generera nätverkskonfiguration med verktyget netdog (kommandona generate-net-config har lagts till) har tillhandahållits.
• Nya alternativ för distributionen med stöd för Kubernetes 1.23 har föreslagits. Starttiden för pods i Kubernetes har förkortats genom att inaktivera configMapAndSecretChangeDetectionStrategy-läget. Nya kubelet-inställningar har lagts till: provider-id och podPidsLimit.
• Ett nytt alternativ för distributionen "aws-ecs-1-nvidia" för Amazon Elastic Container Service (Amazon ECS), som levereras med NVIDIA-drivrutiner, har föreslagits.
• Stöd för Microchip Smart Storage- och MegaRAID SAS-lagringsenheter har lagts till. Stödet för Ethernet-kort med Broadcom-chip har utökats.
• Versioner och beroenden av paket för språken Go och Rust, samt versioner av tredjepartspaket har uppdaterats. Bottlerocket SDK har uppdaterats till version 0.26.0.

Källa: opennet.ru