Linux-jakelun uuden version "Bottlerocket 1.3.0" julkaisu on julkistettu. Järjestelmään on tehty joitakin muutoksia ja parannuksia, joista kohokohtia ovat MCS:n lisätyt rajoitukset SELinux-käytäntöön , useiden SELinux-käytäntöongelmien ratkaisu, IPv6-tuki Kubeletissa ja Plutossa sekä hybridikäynnistyksen tuki x86_64:lle.
Niille, jotka eivät tunne Bottlerocketia, se on Amazonin kanssa yhteistyössä kehitetty Linux-jakelu, jonka tarkoituksena on suorittaa eristettyjä säilöjä tehokkaasti ja turvallisesti. Tämä uusi versio on ensisijaisesti pakettipäivitys, vaikka se sisältää myös joitakin uusia ominaisuuksia.
Jakelulle on ominaista automaattisesti ja atomisesti päivittyvän jakamattoman järjestelmäkuvan tarjoaminen, joka sisältää Linux-ytimen ja minimaalisen järjestelmäympäristön, joka sisältää vain konttien suorittamiseen tarvittavat komponentit.
Tietoja Bottlerocketista
Ympäristö hyödyntää systemd-järjestelmänhallintaa, Glibc-kirjastoa, Buildrootia, GRUB- käynnistyshallintaa , wicked network configuratoria, containerd- ajonaikaista ympäristöä konttien eristämiseen, Kubernetes-alustaa, AWS-iam-authenticatoria ja Amazon ECS -agenttia.
Konttien orkestrointityökalut toimitetaan erillisessä hallintakontissa, joka on oletuksena käytössä ja jota hallitaan AWS SSM API:n ja agentin kautta. Peruslevykuvasta puuttuu komentokehote, SSH-palvelin ja tulkitut kielet (esimerkiksi ei Pythonia tai Perliä): järjestelmänvalvojan ja virheenkorjaustyökalut on siirretty erilliseen palvelukonttiin, joka on oletuksena poistettu käytöstä.
Keskeinen ero verrattuna vastaaviin jakeluihin , kuten Fedora CoreOS ja CentOS/Red Hat Atomic Host, on ensisijainen keskittyminen maksimaalisen turvallisuuden tarjoamiseen järjestelmän vahvistamiseksi mahdollisilta uhilta, käyttöjärjestelmän komponenttien haavoittuvuuksien hyödyntämisen vaikeuttamiseksi ja säilöeristyksen lisäämiseksi.
Bottlerocket 1.3.0: n tärkeimmät uudet ominaisuudet
Tämä uusi jakeluversio korostaa Docker Toolkitin ja Runtime Containerin haavoittuvuuksien (CVE-2021-41089, CVE-2021-41091, CVE-2021-41092, CVE-2021-41103) korjauksia. Haavoittuvuudet liittyivät virheellisiin käyttöoikeusmäärityksiin, jotka mahdollistivat etuoikeudettomien käyttäjien poistumisen kotihakemistosta ja ulkoisten ohjelmien suorittamisen.
Toteutettujen muutosten joukossa kubelet- ja pluto-sovelluksiin on lisätty IPv6-tuki , minkä lisäksi säilö voidaan käynnistää uudelleen kokoonpanon muuttamisen jälkeen ja eni-max-pod-sovelluksiin on lisätty tuki Amazon EC2 M6i -instansseille.
Huomionarvoisia ovat myös uudet MCS-rajoitukset SELinux-käytännölle sekä useiden SELinux-käytäntöongelmien ratkaisu. Lisäksi x86_64-alustalle on toteutettu hybridikäynnistystila (tuella EFI:lle ja BIOSille), ja Open-vm-tools lisää tuen Cilium-työkalupakkiin perustuville laitesuodattimille.
Toisaalta yhteensopivuus aws-k8s-1.17-jakeluversion kanssa, joka perustuu Kubernetes 1.17: een, poistettiin, minkä vuoksi on suositeltavaa käyttää versiota aws-k8s-1.21, joka on yhteensopiva Kubernetes 1.21: n kanssa. k8s -variantit käyttämällä cgroup runtime.slice- ja system.slice -asetuksia.
Muista muutoksista, jotka erottuvat tässä uudessa versiossa:
- Alueilmaisin lisätty aws-iam-authenticator -komentoon
- Käynnistä muokatut isäntäsäilöt uudelleen
- Oletusohjaussäiliö päivitettiin versioon 0.5.2
- Eni-max-podit päivitetty uusilla ilmentymätyypeillä
- Lisätty uusia cilium-laitteen suodattimia open-vm-toolsiin
- Sisällytä / var / log / kdumpen logdog tarballs
- Päivitä kolmannen osapuolen paketit
- Aallon määritelmä lisätty hitaaseen käyttöönottoon
- Lisätty "infrasys" TUF -infran luomiseksi AWS: ään
- Arkistoi vanhat siirrot
- Dokumentaatio muuttuu
Lopuksi, jos olet kiinnostunut oppimaan lisää , löydät tiedot seuraavasta linkistä.