Die Veröffentlichung der neuen Version der Linux-Distribution „Bottlerocket 1.3.0“ wurde angekündigt. In dieser Version wurden einige Änderungen und Verbesserungen am System vorgenommen. Zu den wichtigsten Neuerungen zählen die zusätzlichen Einschränkungen von MCS in der SELinux-Richtlinie sowie die Behebung mehrerer Probleme mit der SELinux-Richtlinie, die IPv6-Unterstützung in kubelet und pluto sowie die Unterstützung für Hybrid-Boot für x86_64.
Für alle, die Bottlerocket noch nicht kennen: Es handelt sich um eine Linux-Distribution, die in Zusammenarbeit mit Amazon entwickelt wurde, um isolierte Container effizient und sicher auszuführen. Diese neue Version ist in erster Linie ein Paketupdate, enthält aber auch einige neue Funktionen.
Die Distribution zeichnet sich dadurch aus, dass sie ein automatisch und atomar aktualisiertes , unteilbares Systemabbild bereitstellt, das den Linux-Kernel und eine minimale Systemumgebung enthält, die nur die Komponenten umfasst, die zum Ausführen von Containern erforderlich sind.
Ãœber Bottlerocket
Die Umgebung nutzt den Systemmanager systemd, die Glibc-Bibliothek, Buildroot, den GRUB- Bootmanager , den Netzwerkkonfigurator wicked, die containerd- Laufzeitumgebung für die Containerisolation, die Kubernetes-Plattform, AWS-iam-authenticator und den Amazon ECS-Agenten.
Die Container-Orchestrierungstools werden in einem separaten Management-Container bereitgestellt, der standardmäßig aktiviert ist und über die AWS SSM API und den Agenten verwaltet wird. Das Basis-Image enthält keine Befehlsshell, keinen SSH-Server und keine interpretierten Sprachen (z. B. kein Python oder Perl): Die Administrator- und Debugging-Tools befinden sich in einem separaten Service-Container, der standardmäßig deaktiviert ist.
Der Hauptunterschied zu ähnlichen Distributionen wie Fedora CoreOS, CentOS/Red Hat Atomic Host besteht darin, dass der Schwerpunkt auf maximaler Sicherheit liegt, indem das System gegen potenzielle Bedrohungen gestärkt wird, die Ausnutzung von Schwachstellen in Betriebssystemkomponenten erschwert und die Containerisolation erhöht wird.
Hauptneufunktionen von Bottlerocket 1.3.0
Diese neue Version der Distribution hebt die Behebung von Sicherheitslücken im Docker Toolkit und Runtime Container (CVE-2021-41089, CVE-2021-41091, CVE-2021-41092, CVE-2021-41103) hervor, die auf eine fehlerhafte Berechtigungskonfiguration zurückzuführen sind und es Benutzern ohne entsprechende Berechtigungen ermöglichten, das Home-Verzeichnis zu verlassen und externe Programme auszuführen.
Zu den vorgenommenen Änderungen gehört, dass kubelet und pluto nun IPv6-Unterstützung erhalten , außerdem die Möglichkeit bieten, den Container nach einer Konfigurationsänderung neu zu starten, und eni-max-pods Unterstützung für Amazon EC2 M6i-Instanzen hinzugefügt wurde.
Erwähnenswert sind außerdem die neuen MCS-Beschränkungen für die SELinux-Richtlinie sowie die Behebung mehrerer Probleme mit der SELinux-Richtlinie. Darüber hinaus wurde für die x86_64-Plattform der Hybrid-Boot-Modus (mit Unterstützung für EFI und BIOS) implementiert, und Open-vm-tools bietet nun Unterstützung für Gerätefilter auf Basis des Cilium-Toolkits.
Auf der anderen Seite wurde die Kompatibilität mit der auf Kubernetes 8 basierenden Version der aws-k1.17s-1.17-Distribution aufgehoben, weshalb empfohlen wird, zusätzlich zur k8s-Varianten mit den Einstellungen cgroup runtime.slice und system.slice.
Von den anderen Änderungen, die in dieser neuen Version auffallen:
- Regionsanzeige zum Befehl aws-iam-authenticator hinzugefügt
- Geänderte Hostcontainer neu starten
- Der Standard-Control-Container wurde auf v0.5.2 aktualisiert
- Eni-max-pods mit neuen Instanztypen aktualisiert
- Neue cilium-Gerätefilter zu open-vm-tools hinzugefügt
- Include / var / log / kdumpen logdog-Tarballs
- Pakete von Drittanbietern aktualisieren
- Wellendefinition für langsame Implementierung hinzugefügt
- 'infrasys' hinzugefügt, um TUF-Infra auf AWS zu erstellen
- Alte Migrationen archivieren
- Dokumentationsänderungen
Wenn Sie schließlich mehr erfahren möchten , finden Sie die Details unter folgendem Link.