I-Bottlerocket 1.8 iyafumaneka, ukuhanjiswa okusekelwe kwizikhongozeli ezizimeleyo

Ukukhutshwa kwe-Linux yokuhanjiswa kwe-Bottlerocket 1.8.0 ishicilelwe, iphuhliswe ngokuthatha inxaxheba kwe-Amazon ukwenzela ukuqaliswa okusebenzayo nokukhuselekileyo kwezikhongozeli ezizimeleyo. Izixhobo zokusasaza kunye namacandelo olawulo abhalwe kwi-Rust kwaye isasazwe phantsi kwe-MIT kunye neelayisensi ze-Apache 2.0. Ixhasa ukuqhuba i-Bottlerocket kwi-Amazon ECS, i-VMware kunye ne-AWS EKS Kubernetes amaqela, kunye nokudala ukwakhiwa kwesiko kunye nokuhlelwa okuvumela ukusetyenziswa kwe-orchestration eyahlukeneyo kunye nezixhobo zexesha lokugijima kwizikhongozeli.

Unikezelo lubonelela ngomfanekiso wenkqubo engahlukaniyo ne-athom ehlaziywa ngokuzenzekelayo equka i-Linux kernel kunye nemekobume yenkqubo encinci, kuquka kuphela amacandelo ayimfuneko okuqhuba izikhongozeli. Imo engqongileyo ibandakanya umphathi wenkqubo yenkqubo, ithala leencwadi leGlibc, isixhobo sokwakha i-Buildroot, i-GRUB bootloader, umqwalaseli womnatha okhohlakeleyo, ixesha lokuqhuba eliqulathiweyo kwizikhongozeli ezizimeleyo, iqonga le-orchestration ye-Kubernetes, i-aws-iam-authenticator, kunye neAmazon. Ummeli we-ECS.

Izixhobo ze-orchestration ze-Container ziza kwi-container yolawulo eyahlukileyo eyenziwa ngokungagqibekanga kwaye ilawulwa nge-API kunye ne-AWS SSM Agent. Umfanekiso wesiseko awunalo iqokobhe lomyalelo, iseva ye-SSH kunye neelwimi ezitolikwayo (umzekelo, akukho Python okanye iPerl) - izixhobo zolawulo kunye nezixhobo zokucoca zibekwe kwisitya senkonzo esahlukileyo, esikhutshaziwe ngokungagqibekanga.

Umahluko ophambili ukusuka kwizabelo ezifanayo ezifana ne-Fedora CoreOS, i-CentOS / i-Red Hat Atomic Host yeyona nto igxininisekile ekuboneleleni ukhuseleko oluphezulu kumxholo wokuqinisa ukhuseleko lwenkqubo kwizisongelo ezinokwenzeka, okwenza kube nzima ngakumbi ukuxhaphaza ubuthathaka kumacandelo e-OS kunye nokwandisa ukwahlukaniswa kwesikhongozeli. . Izikhongozeli zenziwe kusetyenziswa iindlela eziqhelekileyo ze-Linux kernel - amaqela, izithuba zamagama kunye ne-seccomp. Ukongezwa okongeziweyo, ukuhanjiswa kusebenzisa i-SELinux kwimodi "yokunyanzeliswa".

Ulwahlulo lweengcambu lunyuswe ukufunda-kuphela, kwaye i/etc izahlulelo zeseto zifakwe kwi-tmpfs kwaye zibuyiselwe kwimeko yayo yokuqala emva kokuphinda kuqalwe. Ukuguqulwa ngokuthe ngqo kweefayile kwi-directory / etc, njenge /etc/resolv.conf kunye /etc/containerd/config.toml, ayixhaswanga - ukugcina ngokusisigxina izicwangciso, kufuneka usebenzise i-API okanye uhambise ukusebenza kwiibhokisi ezahlukeneyo. Imodyuli ye-dm yokuqinisekisa isetyenziselwa ukungqinisisa ngokufihlakeleyo ingqibelelo yolwahlulo lweengcambu, kwaye ukuba umzamo wokuguqula idata kwinqanaba lesixhobo sokubhloka ichongiwe, inkqubo iphinda iqalise.

Uninzi lwamalungu enkqubo abhalwe kwiRust, ebonelela ngeempawu ezikhuselekileyo kwimemori ukunqanda ubuthathaka obubangelwa kukufikelela kwimemori yasemva kwasimahla, ukuchaswa kwesalathi esingenanto, kunye nokugqithiswa kwe-buffer. Xa ukwakhiwa ngokungagqibekanga, iindlela zokuhlanganisa "-enable-default-pie" kunye ne "-enable-default-ssp" zisetyenziselwa ukwenza i-randomization yendawo yedilesi yefayile ephunyeziweyo (PIE) kunye nokukhuselwa kwi-stack ephuphumayo ngokutshintshwa kwe-canary. Kwiipakethe ezibhalwe ngeC/C++, iiflegi “-Wall”, “-Werror=format-security”, “-Wp,-D_FORTIFY_SOURCE=2”, “-Wp,-D_GLIBCXX_ASSERTIONS” kunye “-fstack-clash” nazo zongezwa yenziwe -ukhuseleko".

Kukhupho olutsha:

• Обновлено содержимое административного и управляющего контейнеров.
• Runtime для изолированных контейнеров обновлён до ветки containerd 1.6.x.
• Обеспечен перезапуск фоновых процессов, координирующих работу контейнеров, после изменений в хранилище сертификатов.
• Предоставлена возможность выставления загрузочных параметров ядра через секцию Boot Configuration.
• Включено игнорирование пустых блоков при контроле целостности корневого раздела при помощи dm-verity.
• Предоставлена возможность статической привязки имён хостов в /etc/hosts.
• Предоставлена возможность генерации сетевой конфигурации при помощи утилиты netdog (добавлена команда generate-net-config).
• Предложены новые варианты дистрибутива c поддержкой Kubernetes 1.23. Сокращено время запуска pod-ов в Kubernetes за счёт отключения режима configMapAndSecretChangeDetectionStrategy. Добавлены новые настройки kubelet-ов: provider-id и podPidsLimit.
• Предложен новый вариант дистрибутива «aws-ecs-1-nvidia» для Amazon Elastic Container Service (Amazon ECS), поставляемый с драйверами NVIDIA.
• Добавлена поддержка устройств хранения Microchip Smart Storage и MegaRAID SAS. Расширена поддержка Ethernet-карт на чипах Broadcom.
• Обновлены версии пакетов и зависимости для языков Go и Rust, а также версии пакетов со сторонними программами. Bottlerocket SDK обновлён до версии 0.26.0.

umthombo: opennet.ru