Teatatud on Linuxi distributsiooni uue versiooni "Bottlerocket 1.3.0" ilmumisest, milles on süsteemi tehtud mõningaid muudatusi ja täiustusi, mille hulgas on MCS-i lisatud piirangud SELinuxi poliitikale , samuti mitmete SELinuxi poliitikaprobleemide lahendus, IPv6 tugi Kubeletis ja Plutos ning hübriidkäivituse tugi x86_64 jaoks.
Neile, kes pole Bottlerocketiga tuttavad, on see Linuxi distributsioon, mis on välja töötatud koostöös Amazoniga isoleeritud konteinerite tõhusaks ja turvaliseks käitamiseks. See uus versioon on peamiselt paketivärskendus, kuigi see sisaldab ka mõningaid uusi funktsioone.
Jaotusele on iseloomulik automaatselt ja aatomiliselt uuendatava jagamatu süsteemipildi pakkumine, mis sisaldab Linuxi kerneli ja minimaalset süsteemikeskkonda, mis sisaldab ainult konteinerite käitamiseks vajalikke komponente.
Bottlerocketist
Keskkond kasutab systemd süsteemihaldurit, Glibc teeki, Buildrooti, GRUB alglaadimishaldurit , Wicked Network Configuratorit, konteinerite isoleerimiseks mõeldud containerd käituskeskkonda , Kubernetes platvormi, AWS-iam-authenticatorit ja Amazon ECS agenti.
Konteineri orkestreerimistööriistad tarnitakse eraldi halduskonteineris, mis on vaikimisi lubatud ja mida hallatakse AWS SSM API ja agendi kaudu. Baaskujutisel puuduvad käskluskest, SSH-server ja tõlgendatud keeled (näiteks puudub Python või Perl): administraatori ja silumistööriistad on teisaldatud eraldi teenuste konteinerisse, mis on vaikimisi keelatud.
Peamine erinevus sarnaste distributsioonidega nagu Fedora CoreOS, CentOS/Red Hat Atomic Host on peamine keskendumine maksimaalse turvalisuse pakkumisele süsteemi tugevdamise kontekstis potentsiaalsete ohtude eest, muutes operatsioonisüsteemi komponentide haavatavuste ärakasutamise raskemaks ja suurendades konteinerite isolatsiooni.
Bottlerocket 1.3.0 peamised uued funktsioonid
See uus versioon jaotusest parandab Docker Toolkiti ja Runtime Containeri haavatavusi (CVE-2021-41089, CVE-2021-41091, CVE-2021-41092, CVE-2021-41103), mis on seotud vale õiguste konfiguratsiooniga, mis võimaldas privilegeerimata kasutajatel kodukataloogist lahkuda ja väliseid programme käivitada.
Rakendatud muudatuste hulgas on lisatud IPv6 tugi kubeletile ja plutole , lisaks võimalus konteiner pärast konfiguratsiooni muutmist taaskäivitada ning eni-max-podidele Amazon EC2 M6i eksemplaride tugi.
Samuti väärivad märkimist uued MCS-i piirangud SELinuxi poliitikale ja mitmete SELinuxi poliitikaprobleemide lahendamine. Lisaks on x86_64 platvormi jaoks rakendatud hübriidkäivitusrežiim (EFI ja BIOS-i toega) ning Open-vm-tools lisab tuge Ciliumi tööriistakomplektil põhinevatele seadmefiltritele.
Teisest küljest kõrvaldati ühilduvus levitamise versiooniga aws-k8s-1.17, mis põhineb Kubernetes 1.17-l, mistõttu on soovitatav lisaks versioonile Kubernetes 8 kasutada ka varianti aws-k1.21s-1.21. k8s variandid, kasutades sätteid cgroup runtime.slice ja system.slice.
Muudest muudatustest, mis selles uues versioonis silma paistavad:
- Piirkonna indikaator on lisatud käsule aws-iam-authenticator
- Taaskäivitage muudetud hostikonteinerid
- Värskendati vaikekontrollikonteiner versioonile v0.5.2
- Eni-max-podsid on värskendatud uute eksemplaritüüpidega
- Lisas avatud vm-tööriistadesse uued tsiliumi seadme filtrid
- Kaasa / var / log / kdumpen logdog tarballs
- Värskendage kolmanda osapoole pakette
- Laine määratlus lisatud aeglaseks rakendamiseks
- AWS -is TUF -infra loomiseks lisati „infrasys”
- Arhiivige vanad ränded
- Dokumentatsioon muutub
Lõpuks, kui olete huvitatud lisateabest , leiate üksikasjad järgmiselt lingilt.