Microsoft har släppt Azure Linux 3.0-distributionen.

Microsoft har publicerat den första stabila uppdateringen av den nya versionen av distributionen Azure Linux 3.0, som tidigare gick under namnet CBL-Mariner. Distributionen utvecklas som en universell basplattform för Linux-miljöer som används i molninfrastruktur, edge-system och olika tjänster från Microsoft. Projektet syftar till att enhetliggöra de Linux-lösningar som används av Microsoft och förenkla underhållet av Linux-system av olika slag. Projektets resultat publiceras under MIT-licensen. Paketbyggnaderna skapas för arkitekturerna aarch64 och x86_64. Storleken på installationsavbilden är 740 MB.

Bland förändringarna i den nya versionen:

• Linux-kärnan har uppdaterats till version 6.6 (tidigare användes kärna 5.15). Stöd för att applicera patchar på den aktiva kärnan (live patching) har lagts till, vilket gör det möjligt att åtgärda sårbarheter i kärnan utan att behöva starta om.
• Nya versioner av paket har föreslagits, inklusive systemd 255, glibc 2.38, GCC 13.2, clang 18.1, OpenSSL 3.3, rpm 4.18.2, ruby 3.3.0, BIND 9.20, containerd 1.7.13, kunc 1.1.12, ostree 2024.5, rust 1.75, Perl 5.38, Python 3.12.3, QEMU 8.2.0.
• Systemet för obligatorisk åtkomstkontroll SELinux har som standard ställts in i läge "enforcing."
• Som standard används en enhetlig hierarki av cgroups v2. Den största skillnaden mellan cgroups v2 och v1 är användningen av en gemensam hierarki av cgroups för alla typer av resurser, istället för separata hierarkier för att fördela CPU-resurser, reglera minnesanvändning och för in-/utdata.
• Verktyg för att ersätta andra distributioner (OSsku In-Place Migration) på noder i Microsoft Azure-molnet har lagts till, till exempel är det möjligt att ersätta installerad Ubuntu med Azure Linux.
• Stöd för nya NVIDIA GPU:er, såsom NVIDIA A100 och H100, har lagts till, samt tillhandahålls NVIDIA GPU Operator för automatisering av hantering av NVIDIA-drivrutiner på noder med Azure Linux.

Azure Linux-distributionen tillhandahåller en liten uppsättning grundpaket som utgör en universell grund för att skapa fyllning av containrar, värdmiljöer och tjänster som körs i molninfrastrukturer och på edge-enheter. Mer avancerade och specialiserade lösningar kan skapas genom att lägga till ytterligare paket ovanpå Azure Linux, men grunden för alla sådana system förblir oförändrad, vilket förenklar underhåll och beredning av uppdateringar.

Till exempel används Azure Linux som grund för mini-distributionen WSLg, där komponenter för det grafiska systemet tillhandahålls för att köra GUI-applikationer i miljöer baserade på WSL2 (Windows Subsystem for Linux). Utökad funktionalitet i WSLg implementeras genom att inkludera ytterligare paket med komposit. servern Weston, XWayland, PulseAudio och FreeRDP.

Systemhantering av tjänster och belastning sker med hjälp av systemchefen systemd. Paketbehandling görs med pakethanterare som RPM och DNF. SSH-servern är inte aktiverad som standard. Installationsprogrammet för distributionen kan köras i både text- och grafiska lägen. Installationsprogrammet erbjuder möjlighet att installera med ett fullständigt eller grundläggande paketutbud, samt ett gränssnitt för att välja diskpartition, värdnamn och skapa användare.

Byggsystemet Azure Linux tillåter generering av både individuella RPM-paket baserat på SPEC-filer och källkod, samt monolitiska systemavbilder som skapas med hjälp av verktyget rpm-ostree och uppdateras atomiskt utan att delas upp i separata paket. Därmed stöds två modeller för leverans av uppdateringar: genom uppdatering av individuella paket och genom ombyggnad och uppdatering av hela systemavbilden. Ett arkiv finns tillgängligt som innehåller cirka 3000 redan byggda RPM-paket, vilket kan användas för att kompilera egna avbilder baserat på en konfigurationsfil.

Basplattformen omfattar endast de mest nödvändiga komponenterna och är optimerad för minimalt minnes- och diskbehov, samt hög startfart. Projektet tillämpar en strategi för "maximal säkerhet som standard", vilket innebär aktivering av olika tilläggsmekanismer för att öka skyddet:

• Filtrering av systemanrop med hjälp av seccomp-mekanismen.
• Kryptering av diskpartitioner.
• Verifiering av paket med hjälp av digital signatur.
• Slumptalsgenerering av adressrymden.
• Skydd mot attacker relaterade till symboliska länkar, mmap, /dev/mem och /dev/kmem.
• Skriftskyddsläge och förbud mot exekvering av kod i minnesområden där kärn- och moduldata lagras.
• Alternativ för att förbjuda inladdning av kärnmoduler efter systeminitiering.
• Användning av iptables för filtrering av nätverkspaket.
• Aktivering av skyddslägen vid byggnation mot stacköversvämning, buffertöversvämning och formatproblem (_FORTIFY_SOURCE, -fstack-protector, -Wformat-security, relro).

Källa: opennet.ru