تم الإعلان عن إصدار النسخة الجديدة من توزيعة لينكس "Bottlerocket 1.3.0" ، والتي تم فيها إجراء بعض التغييرات والتحسينات على النظام، وأبرزها إضافة قيود MCS إلى سياسة SELinux ، بالإضافة إلى حل العديد من مشاكل سياسة SELinux، ودعم IPv6 في kubelet و pluto، ودعم التمهيد الهجين لـ x86_64.
لمن لا يعرفون Bottlerocket، فهي توزيعة لينكس طُوّرت بالتعاون مع أمازون لتشغيل الحاويات المعزولة بكفاءة وأمان. هذا الإصدار الجديد هو في الأساس تحديث للحزمة، ولكنه يتضمن أيضًا بعض الميزات الجديدة.
تتميز هذه التوزيعة بتوفير صورة نظام غير قابلة للتجزئة يتم تحديثها تلقائيًا وبشكل ذري، وتتضمن نواة لينكس وبيئة نظام مصغرة تتضمن فقط المكونات الضرورية لتشغيل الحاويات.
حول بوتليركيت
تستخدم البيئة مدير النظام systemd، ومكتبة Glibc، وBuildroot، ومدير التمهيد GRUB ، ومُكوِّن الشبكة wicked، ووقت تشغيل containerd لعزل الحاويات، ومنصة Kubernetes، و AWS-iam-authenticator، ووكيل Amazon ECS.
تُشحن أدوات تنسيق الحاويات في حاوية إدارة منفصلة مُفعّلة افتراضيًا وتُدار عبر واجهة برمجة تطبيقات AWS SSM والوكيل. تفتقر الصورة الأساسية إلى واجهة سطر الأوامر، وخادم SSH، واللغات المُفسّرة (على سبيل المثال، لا تدعم Python أو Perl): نُقلت أدوات الإدارة والتصحيح إلى حاوية خدمات منفصلة، وهي مُعطّلة افتراضيًا.
يتمثل الاختلاف الرئيسي مقارنة بالتوزيعات المماثلة مثل Fedora CoreOS و CentOS/Red Hat Atomic Host في التركيز الأساسي على توفير أقصى قدر من الأمان في سياق تعزيز النظام ضد التهديدات المحتملة، مما يجعل من الصعب استغلال الثغرات الأمنية في مكونات نظام التشغيل وزيادة عزل الحاويات.
الميزات الرئيسية الجديدة لـ Bottlerocket 1.3.0
يسلط هذا الإصدار الجديد من التوزيع الضوء على تصحيح الثغرات الأمنية في Docker Toolkit و Runtime Container (CVE-2021-41089، CVE-2021-41091، CVE-2021-41092، CVE-2021-41103) المتعلقة بتكوين الأذونات غير الصحيح، والذي سمح للمستخدمين غير المميزين بمغادرة الدليل الرئيسي وتشغيل البرامج الخارجية.
من بين التغييرات التي تم تنفيذها، يمكننا أن نجد أنه تمت إضافة دعم IPv6 إلى kubelet و pluto ، بالإضافة إلى توفير القدرة على إعادة تشغيل الحاوية بعد تغيير تكوينها، وإضافة دعم لمثيلات Amazon EC2 M6i إلى eni-max-pods.
ومن الجدير بالذكر أيضًا القيود الجديدة التي فرضتها MCS على سياسة SELinux، بالإضافة إلى حل العديد من مشكلات سياسة SELinux. علاوة على ذلك، بالنسبة لمنصة x86_64، تم تطبيق وضع التمهيد الهجين (مع دعم EFI وBIOS)، كما أضافت Open-vm-tools دعمًا لمرشحات الأجهزة المستندة إلى مجموعة أدوات Cilium.
من ناحية أخرى ، تم التخلص من التوافق مع إصدار توزيع aws-k8s-1.17 المستند إلى Kubernetes 1.17 ، ولهذا يوصى باستخدام متغير aws-k8s-1.21 مع التوافق مع Kubernetes 1.21 ، بالإضافة إلى k8s باستخدام إعدادات cgroup runtime.slice و system.slice.
من التغييرات الأخرى التي تبرز في هذا الإصدار الجديد:
- تمت إضافة مؤشر المنطقة إلى أمر aws-iam-Authenticator
- أعد تشغيل حاويات المضيف المعدلة
- تم تحديث حاوية التحكم الافتراضية إلى الإصدار 0.5.2
- تم تحديث Eni-max-pods بأنواع مثيلات جديدة
- تمت إضافة عوامل تصفية جهاز cilium جديدة لأدوات فتح vm
- قم بتضمين / var / log / kdumpen logdog tarballs
- تحديث حزم الطرف الثالث
- تمت إضافة تعريف الموجة للتنفيذ البطيء
- تمت إضافة "infrasys" لإنشاء بنية أساسية TUF على AWS
- أرشفة عمليات الترحيل القديمة
- تغييرات التوثيق
وأخيرًا، إذا كنت مهتمًا بمعرفة المزيد ، يمكنك العثور على التفاصيل في الرابط التالي.