Udgivelsen af den nye version af Linux-distributionen "Bottlerocket 1.3.0" er blevet annonceret, hvori der er foretaget nogle ændringer og forbedringer af systemet. Højdepunkterne er de tilføjede begrænsninger fra MCS til SELinux-politikken , samt løsningen på adskillige SELinux-politikproblemer, IPv6-understøttelse i kubelet og pluto samt hybrid boot-understøttelse af x86_64.
For dem der ikke er bekendt med Bottlerocket, er det en Linux-distribution udviklet i samarbejde med Amazon til at køre isolerede containere effektivt og sikkert. Denne nye version er primært en pakkeopdatering, selvom den også indeholder nogle nye funktioner.
Distributionen er karakteriseret ved at levere et automatisk og atomært opdateret udeleligt systembillede , der inkluderer Linux-kernen og et minimalt systemmiljø, der kun inkluderer de komponenter, der er nødvendige for at køre containere.
Om Bottlerocket
Miljøet bruger systemd system manager, Glibc-biblioteket, Buildroot, GRUB boot manager , Wicked-netværkskonfiguratoren, containerd runtime til containerisolering, Kubernetes-platformen, AWS-iam-authenticator og Amazon ECS-agenten.
Containerorkestreringsværktøjerne leveres i en separat administrationscontainer, der er aktiveret som standard og administreres via AWS SSM API og agent. Basisbilledet mangler en kommandoshell, en SSH-server og fortolkede sprog (f.eks. ingen Python eller Perl): administrator- og fejlfindingsværktøjerne er flyttet til en separat servicescontainer, der er deaktiveret som standard.
Den vigtigste forskel i forhold til lignende distributioner som Fedora CoreOS, CentOS/Red Hat Atomic Host er det primære fokus på at yde maksimal sikkerhed i forbindelse med at styrke systemet mod potentielle trusler, hvilket gør det sværere at udnytte sårbarheder i operativsystemkomponenter og øge containerisoleringen.
Vigtigste nye funktioner i Bottlerocket 1.3.0
Denne nye version af distributionen fremhæver rettelsen af sårbarheder i Docker Toolkit og Runtime Container (CVE-2021-41089, CVE-2021-41091, CVE-2021-41092, CVE-2021-41103) relateret til forkert tilladelseskonfiguration, som tillod ikke-privilegerede brugere at forlade hjemmemappen og køre eksterne programmer.
Blandt de implementerede ændringer kan vi se, at IPv6-understøttelse er blevet tilføjet til kubelet og pluto , udover at det er muligt at genstarte containeren efter ændring af dens konfiguration, og der er tilføjet understøttelse af Amazon EC2 M6i-instanser til eni-max-pods.
Det er også værd at bemærke de nye MCS-restriktioner på SELinux-politikken, samt løsningen af flere SELinux-politikproblemer. Derudover er hybrid boot-tilstand implementeret for x86_64-platformen (med understøttelse af EFI og BIOS), og Open-vm-tools tilføjer understøttelse af enhedsfiltre baseret på Cilium-værktøjssættet.
På den anden side blev kompatibiliteten med versionen af aws-k8s-1.17-distributionen baseret på Kubernetes 1.17 elimineret, hvorfor det anbefales at bruge aws-k8s-1.21-varianten med kompatibilitet med Kubernetes 1.21, ud over k8s -varianter, der bruger indstillingerne cgroup runtime.slice og system.slice.
Af de andre ændringer, der skiller sig ud i denne nye version:
- Regionflag tilføjet kommandoen aws-iam-authenticator
- Genstart modificerede værtscontainere
- Opdaterede standardkontrolbeholderen til v0.5.2
- Eni-max-pods opdateret med nye forekomsttyper
- Tilføjet nye cilium-enhedsfiltre til open-vm-tools
- Inkluder / var / log / kdumpen logdog tarballs
- Opdater tredjepartspakker
- Wave definition tilføjet for langsom implementering
- Tilføjet 'infrasys' for at oprette TUF infra på AWS
- Arkiver gamle migrationer
- Dokumentationsændringer
Endelig, hvis du er interesseret i at lære mere , kan du finde detaljerne på følgende link.