{"id":94205,"date":"2020-09-13T19:42:49","date_gmt":"2020-09-13T17:42:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/vyshel-minimalistichnyj-linux-distributiv-bottlerocket-dlya-zapuska-kontejnerov-samoe-glavnoe-o-nyom"},"modified":"2020-09-13T19:42:49","modified_gmt":"2020-09-13T17:42:49","slug":"vyshel-minimalistichnyj-linux-distributiv-bottlerocket-dlya-zapuska-kontejnerov-samoe-glavnoe-o-nyom","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/vyshel-minimalistichnyj-linux-distributiv-bottlerocket-dlya-zapuska-kontejnerov-samoe-glavnoe-o-nyom","title":{"rendered":"En minimalistisk Linux-distribution Bottlerocket f\u00f6r att k\u00f6ra containrar har sl\u00e4ppts. Det viktigaste om den.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"En
\n
\nAmazon tillk\u00e4nnagav<\/a><\/noindex> om den slutgiltiga versionen Bottlerocket<\/a><\/noindex> \u2014 en specialiserad distribution f\u00f6r att k\u00f6ra containrar och effektiv hantering av dem.<\/p>\n

Bottlerocket (f\u00f6r \u00f6vrigt \u00e4r det s\u00e5 som sm\u00e5 hemmagjorda raketer med svartkrut ben\u00e4mns) \u00e4r inte det f\u00f6rsta operativsystemet f\u00f6r containrar, men det \u00e4r ganska troligt att det kommer att f\u00e5 omfattande spridning tack vare standardintegrationen med AWS-tj\u00e4nster. \u00c4ven om systemet \u00e4r riktat mot Amazons moln, till\u00e5ter den \u00f6ppna koden att det kan kompileras var som helst: lokalt p\u00e5 en server, p\u00e5 Raspberry Pi, i vilket konkurrerande moln som helst och \u00e4ven i en milj\u00f6 utan containrar.<\/p>\n

Det \u00e4r en helt v\u00e4rdig ers\u00e4ttning f\u00f6r distributionen CoreOS, som begravdes av Red Hat.
\n<\/a><\/noindex>
\n\u00d6verhuvudtaget har Amazon Web Services redan Amazon Linux, som nyligen gick in i sin andra version: detta \u00e4r en allm\u00e4nt anv\u00e4nd distribution som kan k\u00f6ras i en Docker-container eller med Linux KVM, Microsoft Hyper-V och VMware ESXi-hypervisorer. Den har optimerats f\u00f6r att fungera i AWS-molnet, men med lanseringen av Bottlerocket rekommenderas alla att uppgradera till det nya systemet, som \u00e4r s\u00e4krare, modernare och kr\u00e4ver mindre resurser.<\/p>\n

AWS tillk\u00e4nnagav Bottlerocket i mars 2020<\/a><\/noindex>. Det erk\u00e4nde omedelbart att detta inte \u00e4r den f\u00f6rsta \"Linux f\u00f6r containrar\", och n\u00e4mnde CoreOS, Rancher OS och Project Atomic som inspirationsk\u00e4llor. Utvecklarna skrev att operativsystemet \u00e4r \"resultatet av de l\u00e4rdomar som vi dragit under l\u00e5ngvarigt arbete med produktionsarbetsbelastningar i Amazons storlek, med h\u00e4nsyn till den erfarenhet vi f\u00e5tt under de senaste sex \u00e5ren om hur man k\u00f6r containrar\".<\/p>\n

Extrem minimalistisk<\/h1>\n

\nLinux \u00e4r rensat fr\u00e5n allt som inte beh\u00f6vs f\u00f6r att k\u00f6ra containrar. Denna design, enligt f\u00f6retaget, minskar attackytan.<\/p>\n

Detta inneb\u00e4r att f\u00e4rre paket installeras i det grundl\u00e4ggande systemet, vilket f\u00f6renklar underh\u00e5ll och uppdateringar av OS, samt minskar risken f\u00f6r problem p\u00e5 grund av beroenden och minskar resursanv\u00e4ndningen. I princip fungerar allt h\u00e4r inne i separata containrar, och det grundl\u00e4ggande systemet \u00e4r praktiskt taget helt naket.<\/p>\n

Amazon har ocks\u00e5 tagit bort alla skal och tolkar f\u00f6r att eliminera risken f\u00f6r deras anv\u00e4ndning eller oavsiktlig h\u00f6jning av privilegier f\u00f6r anv\u00e4ndare. Den grundl\u00e4ggande bilden saknar kommandoskal, SSH-server och tolkade spr\u00e5k som Python f\u00f6r att uppn\u00e5 minimalism och s\u00e4kerhet. Administrationsverktyg har flyttats till en separat tj\u00e4nstekontainer som \u00e4r inaktiverad som standard.<\/p>\n

Systemhantering \u00e4r m\u00f6jligt p\u00e5 tv\u00e5 s\u00e4tt: via API och orkestrering.<\/p>\n

Ist\u00e4llet f\u00f6r en paketchef som uppdaterar enskilda delar av programvaran, laddar Bottlerocket ner en fullst\u00e4ndig filsystemimage och startar om till den. Vid ett startproblem g\u00f6r det automatiskt en \u00e5terst\u00e4llning, och ett misslyckande med arbetsbelastningen kan initiera en \u00e5terst\u00e4llning manuellt (kommando via API).<\/p>\n

Ramverk TUF<\/a><\/noindex> (The Update Framework) laddar uppdateringar baserade p\u00e5 bilder till alternativ eller \"avmonterade\" partitioner. Systemet tilldelas tv\u00e5 diskpartitioner, d\u00e4r den ena inneh\u00e5ller det aktiva systemet och den andra kopieras uppdateringen. Det root-partitionen monteras i skrivskyddat l\u00e4ge, medan partitionen \/etc<\/code> monteras med filsystemet i arbetsminnet tmpfs<\/a><\/noindex> och \u00e5terst\u00e4ller ursprungligt tillst\u00e5nd efter omstart. Direkt \u00e4ndring av konfigurationsfiler i \/etc<\/code> st\u00f6djs inte: f\u00f6r att spara inst\u00e4llningar b\u00f6r API anv\u00e4ndas eller funktionalitet flyttas till separata containrar.<\/p>\n

\"En
\nUppdateringsschemat via API<\/i><\/p>\n

S\u00e4kerhet<\/h1>\n

\nContainrar skapas med standardmekanismer i Linux-k\u00e4rnan \u2014 cgroups, namnutrymmen och seccomp, och som system f\u00f6r tv\u00e5ngskontroll anv\u00e4nds SELinux<\/a><\/noindex> i l\u00e4get "enforcing".<\/p>\n

Som standard \u00e4r policys aktiverade f\u00f6r resursdelning mellan containrar och k\u00e4rnan. Bin\u00e4rfiler \u00e4r skyddade med flaggor s\u00e5 att anv\u00e4ndare eller program inte kan k\u00f6ra dem. Och om n\u00e5gon f\u00e5r tillg\u00e5ng till filsystemet erbjuder Bottlerocket ett verktyg f\u00f6r att kontrollera och sp\u00e5ra eventuella gjorda \u00e4ndringar.<\/p>\n

L\u00e4get \"verifierad start\" implementeras genom funktionen device-mapper-verity (dm-verity<\/a><\/noindex>), som kontrollerar integriteten hos rotpartitionen under uppstart. AWS beskriver dm-verity som \"en funktion i Linux-k\u00e4rnan som s\u00e4kerst\u00e4ller integritet f\u00f6r att f\u00f6rhindra skadlig programvara fr\u00e5n att k\u00f6ras i OS, s\u00e5som att skriva \u00f6ver det grundl\u00e4ggande systemprogramvaran.\"<\/p>\n

Det finns ocks\u00e5 ett filter i systemet eBPF<\/a><\/noindex> (extended BPF, utveckling av Alexey Starovoytov<\/a><\/noindex>), som till\u00e5ter ers\u00e4ttning av k\u00e4rnmoduler med mer s\u00e4kra BPF-program f\u00f6r l\u00e5g niv\u00e5 systemoperationer.<\/p>\n

K\u00f6rmodell
\nAnv\u00e4ndarinst\u00e4lld
\nKompilering
\nS\u00e4kerhet
\nFels\u00f6kningsl\u00e4ge
\nResurs\u00e5tkomst<\/p>\n

Anv\u00e4ndare<\/b>
\nuppgift
\nja
\nvilken som helst
\nanv\u00e4ndarr\u00e4ttigheter
\navbrytande av k\u00f6rning
\nsystemanrop, fel<\/p>\n

K\u00e4rna<\/b>
\nuppgift
\nnej
\nstatisk
\nnej
\nk\u00e4rnapanik
\ndirekt<\/p>\n

BPF<\/b>
\nh\u00e4ndelse
\nja
\nJIT, CO-RE
\nverifiering, JIT
\nfelmeddelande
\nbegr\u00e4nsade hj\u00e4lpare<\/p>\n

\nSkillnaden mellan BPF och vanlig anv\u00e4ndar- eller k\u00e4rnkod, ClickHouse-Ninja\/Proton<\/a><\/noindex><\/i><\/p>\n

AWS har sagt att Bottlerocket \"till\u00e4mpar en driftmodell som ytterligare \u00f6kar s\u00e4kerheten genom att f\u00f6rhindra anslutningar till produktionsservrar med administrat\u00f6rsprivilegier\" och \"\u00e4r tj\u00e4nlig f\u00f6r stora distribuerade system d\u00e4r kontrollen \u00f6ver varje enskild v\u00e4rd \u00e4r begr\u00e4nsad.\"<\/p>\n

F\u00f6r systemadministrat\u00f6rer finns en administrat\u00f6rsbeh\u00e5llare. Men AWS anser inte att administrat\u00f6ren ofta kommer beh\u00f6va arbeta inuti Bottlerocket: \"\u00c5tkomsten till en enskild instans av Bottlerocket \u00e4r avsedd f\u00f6r s\u00e4llsynta operationer: avancerad fels\u00f6kning och debugging,\" \u2014 att forskningen \u00e4r inkluderad, men till\u00e4ggen \u00e4r fortfarande otillg\u00e4ngliga), men utvecklarna ville sl\u00e4ppa en fix f\u00f6re m\u00e5ndag.<\/a><\/noindex> utvecklare.<\/p>\n

Spr\u00e5ket Rust<\/h1>\n

\nOperativsystemverktyget ovanp\u00e5 k\u00e4rnan \u00e4r huvudsakligen skrivet i Rust. Detta spr\u00e5k minskar i sin natur risken f\u00f6r os\u00e4kert minnes\u00e5tkomst<\/a><\/noindex>, samt eliminera race conditions mellan tr\u00e5dar<\/a><\/noindex>.<\/p>\n

Vid standardkompilering till\u00e4mpas flaggor --enable-default-pie<\/code> och --enable-default-ssp<\/code> f\u00f6r att aktivera randomisering av minnesadresser f\u00f6r exekverbara filer (position-independent executable<\/a><\/noindex>, PIE) och skydd mot stack overflow.<\/p>\n

F\u00f6r C\/C++-paket till\u00e4mpas ytterligare flaggor -Wall<\/code>, -Werror=format-security<\/code>, -Wp,-D_FORTIFY_SOURCE=2<\/code>, -Wp,-D_GLIBCXX_ASSERTIONS<\/code> och -fstack-clash-protection<\/code>.<\/p>\n

F\u00f6rutom Rust och C\/C++, \u00e4r vissa paket skrivna i Go.<\/p>\n

Integration med AWS-tj\u00e4nster<\/h1>\n

\nSkillnaden fr\u00e5n liknande containermilj\u00f6er \u00e4r att Amazon har optimerat Bottlerocket f\u00f6r att fungera p\u00e5 AWS och f\u00f6r integration med andra AWS-tj\u00e4nster.<\/p>\n

Den mest popul\u00e4ra containermanageraren \u00e4r Kubernetes, s\u00e5 AWS har inf\u00f6rt integration med sin egen Enterprise Kubernetes Service (EKS). Verktyg f\u00f6r orkestrering ing\u00e5r i en separat hanteringscontainer. bottlerocket-control-container<\/a><\/noindex>, som \u00e4r aktiverad som standard och hanteras via API och AWS SSM Agent.<\/p>\n

Det blir intressant att se om Bottlerocket tar fart, med tanke p\u00e5 misslyckandet av n\u00e5gra liknande initiativ tidigare. Till exempel blev PhotonOS fr\u00e5n Vmware of\u00f6rskattad, och RedHat k\u00f6pte CoreOS och st\u00e4ngde projektet<\/a><\/noindex>, som ans\u00e5gs vara en pionj\u00e4r inom omr\u00e5det.<\/p>\n

Integrationen av Bottlerocket i AWS-tj\u00e4nster g\u00f6r detta system unikt i sitt slag. Kanske \u00e4r det huvudsk\u00e4let till varf\u00f6r vissa anv\u00e4ndare kan f\u00f6redra Bottlerocket framf\u00f6r andra distributioner som CoreOS eller Alpine. Systemet \u00e4r ursprungligen designat f\u00f6r att fungera med EKS och ECS, men vi upprepar att detta inte \u00e4r ett krav. F\u00f6r det f\u00f6rsta kan Bottlerocket byggas p\u00e5 egen hand<\/a><\/noindex> och anv\u00e4ndas som en till exempel hosted-l\u00f6sning. F\u00f6r det andra, anv\u00e4ndare av EKS och ECS kommer fortfarande att ha m\u00f6jlighet att v\u00e4lja operativsystem.<\/p>\n

K\u00e4llkoden f\u00f6r Bottlerocket har publicerats p\u00e5 GitHub under Apache 2.0-licensen. Utvecklarna reagerar redan p\u00e5 buggrapporter och funktionsf\u00f6rfr\u00e5gningar.<\/a><\/noindex>.<\/p>\n

<\/p>\n

I reklamens namn<\/h4>\n

\nVDSina<\/b> erbjuder VDS med daglig betalning<\/a><\/noindex>. Du kan installera vilket operativsystem som helst, inklusive fr\u00e5n din egen bild. Varje server \u00e4r ansluten till en internetkanal p\u00e5 500 Megabit och skyddas gratis mot DDoS-attacker! <\/p>\n

\"En<\/a><\/noindex>
\n
K\u00e4lla: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Amazon \u043e\u0431\u044a\u044f\u0432\u0438\u043b\u0430 \u043e \u0444\u0438\u043d\u0430\u043b\u044c\u043d\u043e\u043c \u0440\u0435\u043b\u0438\u0437\u0435 Bottlerocket \u2014 \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u0434\u0438\u0441\u0442\u0440\u0438\u0431\u0443\u0442\u0438\u0432\u0430 \u0434\u043b\u044f \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u043e\u0432 \u0438 \u044d\u0444\u0444\u0435\u043a\u0442\u0438\u0432\u043d\u043e\u0433\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0438\u043c\u0438. Bottlerocket (\u043a\u0441\u0442\u0430\u0442\u0438, \u0442\u0430\u043a \u043d\u0430\u0437\u044b\u0432\u0430\u044e\u0442 \u043c\u0435\u043b\u043a\u0438\u0435 \u0441\u0430\u043c\u043e\u0434\u0435\u043b\u044c\u043d\u044b\u0435 \u0440\u0430\u043a\u0435\u0442\u044b \u043d\u0430 \u0434\u044b\u043c\u043d\u043e\u043c \u043f\u043e\u0440\u043e\u0445\u0435) \u2014 \u043d\u0435 \u043f\u0435\u0440\u0432\u0430\u044f \u041e\u0421 \u0434\u043b\u044f \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u043e\u0432, \u043d\u043e \u0432\u043f\u043e\u043b\u043d\u0435 \u0432\u0435\u0440\u043e\u044f\u0442\u043d\u043e, \u0447\u0442\u043e \u043e\u043d\u0430 \u043f\u043e\u043b\u0443\u0447\u0438\u0442 \u0448\u0438\u0440\u043e\u043a\u043e\u0435 \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u0435 \u0431\u043b\u0430\u0433\u043e\u0434\u0430\u0440\u044f \u0434\u0435\u0444\u043e\u043b\u0442\u043d\u043e\u0439 \u0438\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u0438 \u0441 \u0441\u0435\u0440\u0432\u0438\u0441\u0430\u043c\u0438 AWS. \u0425\u043e\u0442\u044f \u0441\u0438\u0441\u0442\u0435\u043c\u0430 \u043e\u0440\u0438\u0435\u043d\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0430 \u043d\u0430 \u043e\u0431\u043b\u0430\u043a\u043e Amazon, \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u0439 \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u0439 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":94206,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-94205","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47 En minimalistisk Linux-distribution Bottlerocket f\u00f6r att k\u00f6ra containrar har sl\u00e4ppts. Det viktigaste om den | ProHoster","description":"","canonical_url":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/vyshel-minimalistichnyj-linux-distributiv-bottlerocket-dlya-zapuska-kontejnerov-samoe-glavnoe-o-nyom","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"sv_SE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0412\u044b\u0448\u0435\u043b \u043c\u0438\u043d\u0438\u043c\u0430\u043b\u0438\u0441\u0442\u0438\u0447\u043d\u044b\u0439 Linux-\u0434\u0438\u0441\u0442\u0440\u0438\u0431\u0443\u0442\u0438\u0432 Bottlerocket \u0434\u043b\u044f \u0437\u0430\u043f\u0443\u0441\u043a\u0430 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u043e\u0432. \u0421\u0430\u043c\u043e\u0435 \u0433\u043b\u0430\u0432\u043d\u043e\u0435 \u043e \u043d\u0451\u043c | ProHoster","og:url":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/vyshel-minimalistichnyj-linux-distributiv-bottlerocket-dlya-zapuska-kontejnerov-samoe-glavnoe-o-nyom","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-09-13T17:42:49+00:00","article:modified_time":"2020-09-13T17:42:49+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"94205","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 11:31:27","updated":"2022-10-03 07:42:47","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts\/94205","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/comments?post=94205"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts\/94205\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/media\/94206"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/media?parent=94205"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/categories?post=94205"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/tags?post=94205"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}