La sortie de la nouvelle version de la distribution Linux « Bottlerocket 1.3.0 » a été annoncée. Cette version apporte des modifications et des améliorations au système, notamment l'ajout de restrictions MCS à la politique SELinux , la résolution de plusieurs problèmes liés à cette politique, la prise en charge d'IPv6 dans kubelet et pluto, ainsi que la prise en charge du démarrage hybride pour x86_64.
Pour ceux qui ne connaissent pas Bottlerocket, il s'agit d'une distribution Linux développée en partenariat avec Amazon pour exécuter des conteneurs isolés de manière efficace et sécurisée. Cette nouvelle version est principalement une mise à jour des paquets, mais elle inclut également quelques nouvelles fonctionnalités.
Cette distribution se caractérise par la fourniture d'une image système indivisible mise à jour automatiquement et atomiquement , comprenant le noyau Linux et un environnement système minimal ne contenant que les composants nécessaires à l'exécution des conteneurs.
À propos de Bottlerocket
L'environnement utilise le gestionnaire de système systemd, la bibliothèque Glibc, Buildroot, le gestionnaire de démarrage GRUB , le configurateur de réseau wicked, l' environnement d'exécution containerd pour l'isolation des conteneurs, la plateforme Kubernetes, AWS-iam-authenticator et l'agent Amazon ECS.
Les outils d'orchestration de conteneurs sont fournis dans un conteneur de gestion distinct, activé par défaut et géré via l'API et l'agent AWS SSM. L'image de base ne comprend ni shell de commandes, ni serveur SSH, ni langages interprétés (par exemple, Python ou Perl) : les outils d'administration et de débogage sont déplacés vers un conteneur de services distinct, désactivé par défaut.
La principale différence par rapport à des distributions similaires comme Fedora CoreOS, CentOS/Red Hat Atomic Host réside dans l'accent mis sur la sécurité maximale, dans le but de renforcer le système contre les menaces potentielles, de rendre plus difficile l'exploitation des vulnérabilités des composants du système d'exploitation et d'accroître l'isolation des conteneurs.
Principales nouveautés de Bottlerocket 1.3.0
Cette nouvelle version de la distribution met en évidence la correction des vulnérabilités du Docker Toolkit et du conteneur d'exécution (CVE-2021-41089, CVE-2021-41091, CVE-2021-41092, CVE-2021-41103) liées à une configuration d'autorisation incorrecte, qui permettait aux utilisateurs non privilégiés de quitter le répertoire personnel et d'exécuter des programmes externes.
Parmi les modifications apportées, on constate que la prise en charge d'IPv6 a été ajoutée à kubelet et pluto , en plus de la possibilité de redémarrer le conteneur après modification de sa configuration, et de l'ajout de la prise en charge des instances Amazon EC2 M6i à eni-max-pods.
Il convient également de noter les nouvelles restrictions MCS concernant la politique SELinux, ainsi que la résolution de plusieurs problèmes liés à cette politique. De plus, pour la plateforme x86_64, le mode de démarrage hybride est implémenté (avec prise en charge d'EFI et du BIOS), et Open-vm-tools prend désormais en charge les filtres de périphériques basés sur la boîte à outils Cilium.
En revanche, la compatibilité avec la version de la distribution aws-k8s-1.17 basée sur Kubernetes 1.17 a été supprimée, c'est pourquoi il est recommandé d'utiliser la variante aws-k8s-1.21 compatible avec Kubernetes 1.21, en plus de la k8s en utilisant les paramètres cgroup runtime.slice et system.slice.
Parmi les autres changements qui ressortent de cette nouvelle version:
- Indicateur de région ajouté à la commande aws-iam-authenticator
- Redémarrer les conteneurs hôtes modifiés
- Mise à jour du conteneur de contrôle par défaut vers la v0.5.2
- Eni-max-pods mis à jour avec de nouveaux types d'instances
- Ajout de nouveaux filtres de périphériques cilium à open-vm-tools
- Inclure / var / log / kdumpen logdog tarballs
- Mettre à jour les packages tiers
- Définition de vague ajoutée pour une mise en œuvre lente
- Ajout de 'infrasys' pour créer TUF infra sur AWS
- Archiver les anciennes migrations
- Modifications de la documentation
Enfin, si vous souhaitez en savoir plus , vous trouverez les détails en suivant ce lien.