Najavljeno je izlazak nove verzije Linux distribucije "Bottlerocket 1.3.0" , u kojoj su napravljene neke promjene i poboljšanja sistema, od kojih se izdvajaju dodana ograničenja MCS-a za SELinux politiku , kao i rješenje za nekoliko problema sa SELinux politikom, podrška za IPv6 u kubeletu i plutu, te podrška za hibridno pokretanje za x86_64.
Za one koji nisu upoznati sa Bottlerocketom, to je Linux distribucija razvijena u partnerstvu sa Amazonom za efikasno i sigurno pokretanje izolovanih kontejnera. Ova nova verzija je prvenstveno ažuriranje paketa, iako uključuje i neke nove funkcije.
Distribuciju karakterizira pružanje automatski i atomski ažurirane nedjeljive sistemske slike koja uključuje Linux kernel i minimalno sistemsko okruženje koje uključuje samo komponente potrebne za pokretanje kontejnera.
O Bottlerocket -u
Okruženje koristi sistemski menadžer systemd, biblioteku Glibc, Buildroot, GRUB boot menadžer , konfigurator mreže Wicked, runtime okruženje containerda za izolaciju kontejnera, Kubernetes platformu, AWS-iam-authenticator i Amazon ECS agent.
Alati za orkestraciju kontejnera isporučuju se u zasebnom kontejneru za upravljanje koji je omogućen prema zadanim postavkama i kojim se upravlja putem AWS SSM API-ja i agenta. Osnovnoj slici nedostaje komandna ljuska, SSH server i interpretirani jezici (na primjer, nema Pythona ili Perla): alati za administratora i otklanjanje grešaka premješteni su u zaseban kontejner usluga, koji je onemogućen prema zadanim postavkama.
Ključna razlika u odnosu na slične distribucije poput Fedora CoreOS-a, CentOS-a/Red Hat Atomic Host-a je primarni fokus na pružanju maksimalne sigurnosti u kontekstu jačanja sistema od potencijalnih prijetnji, otežavajući iskorištavanje ranjivosti u komponentama operativnog sistema i povećavajući izolaciju kontejnera.
Glavne nove značajke Bottlerocket 1.3.0
Ova nova verzija distribucije ističe ispravku ranjivosti u Docker Toolkit i Runtime Container (CVE-2021-41089, CVE-2021-41091, CVE-2021-41092, CVE-2021-41103) koje se odnose na neispravnu konfiguraciju dozvola, što je omogućavalo neprivilegovanim korisnicima da napuste početni direktorij i pokrenu vanjske programe.
Među implementiranim promjenama, možemo pronaći da je podrška za IPv6 dodana u kubelet i pluto , pored toga što je omogućeno ponovno pokretanje kontejnera nakon promjene njegove konfiguracije, te dodana podrška za Amazon EC2 M6i instance u eni-max-pods.
Također su vrijedna pažnje nova MCS ograničenja SELinux pravila, kao i rješavanje nekoliko problema sa SELinux pravilima. Osim toga, za x86_64 platformu implementiran je hibridni način pokretanja (s podrškom za EFI i BIOS), a Open-vm-tools dodaje podršku za filtere uređaja zasnovane na Cilium alatima.
S druge strane, eliminirana je kompatibilnost sa aws-k8s-1.17 distributivnom verzijom baziranom na Kubernetes 1.17, pa se preporučuje korištenje aws-k8s-1.21 varijante sa kompatibilnošću sa Kubernetes 1.21, pored k8s varijanti koje koriste cgroup runtime .slice i system.slice konfiguracije.
Od ostalih promjena koje se ističu u ovoj novoj verziji:
- Regionalna zastava je dodana naredbi aws-iam-authentication
- Ponovo pokrenite izmijenjene spremnike hosta
- Ažuriran je zadani kontrolni spremnik na v0.5.2
- Eni-max-pods ažurirani su novim tipovima instanci
- Dodani su novi filteri cilium uređaja u open-vm-alate
- Uključi / var / log / kdumpen logdog tarballs
- Ažurirajte pakete trećih strana
- Dodana je definicija talasa radi spore implementacije
- Dodani 'infrasys' za stvaranje TUF infra na AWS -u
- Arhivirajte stare migracije
- Dokumentacija se menja
Konačno, ako ste zainteresirani da saznate više , detalje možete pronaći na sljedećem linku.