{"id":100944,"date":"2021-08-08T16:22:42","date_gmt":"2021-08-08T14:22:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-bottlerocket-1-2-distributiva-na-baze-izolirovannyh-kontejnerov"},"modified":"2021-08-08T16:22:42","modified_gmt":"2021-08-08T14:22:42","slug":"vypusk-bottlerocket-1-2-distributiva-na-baze-izolirovannyh-kontejnerov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/vypusk-bottlerocket-1-2-distributiva-na-baze-izolirovannyh-kontejnerov","title":{"rendered":"Release av Bottlerocket 1.2, en distribution baserad p\u00e5 isolerade containrar","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Version 1.2.0 av Linux-distributionen Bottlerocket \u00e4r nu tillg\u00e4nglig, utvecklad med hj\u00e4lp av Amazon f\u00f6r effektiv och s\u00e4ker k\u00f6rning av isolerade containrar. Verktyg och styrkomponenter i distributionen \u00e4r skrivna i Rust och distribueras under MIT- och Apache 2.0-licenser. Bottlerocket kan k\u00f6ras i Amazon ECS, VMware och AWS EKS Kubernetes-kluster, samt anpassa skr\u00e4ddarsydda byggnader och utg\u00e5vor som till\u00e5ter anv\u00e4ndning av olika orkestreringsverktyg och runtime f\u00f6r containrar. <\/p>\n

Distributionen erbjuder en atom\u00e4r och automatiskt uppdaterad odelbar systembild som inkluderar Linux-k\u00e4rnan och en minimal systemmilj\u00f6, som inneh\u00e5ller endast de komponenter som kr\u00e4vs f\u00f6r att starta containrar. I milj\u00f6n anv\u00e4nds systemhanteraren systemd, biblioteket Glibc, byggverktyget Buildroot, bootloadern GRUB, n\u00e4tverkskonfiguratorn wicked, runtime f\u00f6r isolerade containrar containerd, orkestreringsplattformen Kubernetes, autentiseraren aws-iam-authenticator och Amazon ECS-agent. <\/p>\n

Verktyg f\u00f6r orkestrering av containrar levereras i en separat styrcontainer, som aktiveras som standard och hanteras via API och AWS SSM Agent. Den grundl\u00e4ggande bilden saknar kommandotolk, server<\/a> SSH och tolkade spr\u00e5k (t.ex. inga Python eller Perl) \u2014 verktyg f\u00f6r administrat\u00f6rer och fels\u00f6kningsverktyg \u00e4r placerade i en separat tj\u00e4nstekontainer som som standard \u00e4r avst\u00e4ngd. <\/p>\n

Den viktigaste skillnaden fr\u00e5n liknande distributioner, s\u00e5som Fedora CoreOS, CentOS\/Red Hat Atomic Host, \u00e4r den prim\u00e4ra inriktningen p\u00e5 att erbjuda maximal s\u00e4kerhet i syfte att st\u00e4rka skyddet av systemet mot potentiella hot, komplicera utnyttjandet av s\u00e5rbarheter i OS-komponenter och \u00f6ka isoleringen av containrar. Containrar skapas med hj\u00e4lp av de inbyggda mekanismerna i Linux-k\u00e4rnan \u2014 cgroups, namespaces och seccomp. F\u00f6r ytterligare isolering anv\u00e4nds SELinux i 'enforcing'-l\u00e4ge. <\/p>\n

Rotpartitionen monteras i skrivskyddat l\u00e4ge, medan \/etc-partitionen monteras i tmpfs och \u00e5terst\u00e4ller sitt ursprungliga tillst\u00e5nd efter omstart. Direkt \u00e4ndring av filer i katalogen \/etc, s\u00e5som \/etc\/resolv.conf och \/etc\/containerd\/config.toml, st\u00f6ds inte \u2014 f\u00f6r permanent lagring av inst\u00e4llningar b\u00f6r API anv\u00e4ndas eller funktionaliteten flyttas till separata containrar. F\u00f6r kryptografisk verifiering av rotpartitionens integritet anv\u00e4nds dm-verity-modulen, och vid uppt\u00e4ckten av ett f\u00f6rs\u00f6k att modifiera data p\u00e5 blockenhetsniv\u00e5 startar systemet om. <\/p>\n

De flesta systemkomponenter \u00e4r skrivna i spr\u00e5ket Rust, som ger m\u00f6jligheter f\u00f6r s\u00e4ker minneshantering och hj\u00e4lper till att undvika s\u00e5rbarheter orsakade av f\u00f6rfr\u00e5gningar till minnesomr\u00e5den efter att de har frigjorts, dereferensiering av null-pointers och buffert\u00f6verskridningar. Vid standardkompilering anv\u00e4nds kompilationsl\u00e4gena '--enable-default-pie' och '--enable-default-ssp' f\u00f6r att aktivera randomisering av adresseringsutrymmet f\u00f6r k\u00f6rbara filer (PIE) och skydd mot stack\u00f6verfl\u00f6de genom ins\u00e4ttning av kannmark\u00f6rer. F\u00f6r paket skrivna i C\/C++ aktiveras dessutom flaggorna '-Wall', '-Werror=format-security', '-Wp,-D_FORTIFY_SOURCE=2', '-Wp,-D_GLIBCXX_ASSERTIONS' och '-fstack-clash-protection'. <\/p>\n

I den nya utg\u00e5van: <\/p>\n