Najavljeno je izlazak nove verzije Linux distribucije "Bottlerocket 1.3.0" u kojoj su napravljene neke promjene i poboljšanja sustava, od kojih se ističu dodana ograničenja MCS-a za SELinux politiku , kao i rješenje nekoliko problema s SELinux politikom, podrška za IPv6 u kubeletu i plutu te podrška za hibridno pokretanje za x86_64.
Za one koji nisu upoznati s Bottlerocketom, to je Linux distribucija razvijena u partnerstvu s Amazonom za učinkovito i sigurno pokretanje izoliranih kontejnera. Ova nova verzija je prvenstveno ažuriranje paketa, iako uključuje i neke nove značajke.
Distribuciju karakterizira pružanje automatski i atomski ažurirane nedjeljive slike sustava koja uključuje Linux kernel i minimalno sistemsko okruženje koje uključuje samo komponente potrebne za pokretanje kontejnera.
O Bottlerocket -u
Okruženje koristi systemd upravitelj sustava, Glibc biblioteku, Buildroot, GRUB upravitelj pokretanja , Wicked mrežni konfigurator, containerds runtime za izolaciju kontejnera, Kubernetes platformu, AWS-iam-authenticator i Amazon ECS agent.
Alati za orkestraciju kontejnera isporučuju se u zasebnom kontejneru za upravljanje koji je omogućen prema zadanim postavkama i njime se upravlja putem AWS SSM API-ja i agenta. Osnovnoj slici nedostaje naredbena ljuska, SSH poslužitelj i interpretirani jezici (na primjer, nema Pythona ili Perla): alati za administratora i ispravljanje pogrešaka premješteni su u zaseban kontejner usluga, koji je onemogućen prema zadanim postavkama.
Ključna razlika u usporedbi sa sličnim distribucijama poput Fedora CoreOS-a, CentOS-a/Red Hat Atomic Hosta je primarni fokus na pružanju maksimalne sigurnosti u kontekstu jačanja sustava od potencijalnih prijetnji, što otežava iskorištavanje ranjivosti u komponentama operacijskog sustava i povećava izolaciju kontejnera.
Glavne nove značajke Bottlerocket 1.3.0
Ova nova verzija distribucije ističe ispravak ranjivosti u Docker Toolkitu i Runtime Container-u (CVE-2021-41089, CVE-2021-41091, CVE-2021-41092, CVE-2021-41103) povezanih s netočnom konfiguracijom dozvola, što je omogućavalo neprivilegiranim korisnicima da napuste početni direktorij i pokrenu vanjske programe.
Među implementiranim promjenama možemo pronaći dodanu IPv6 podršku za kubelet i pluto , uz mogućnost ponovnog pokretanja kontejnera nakon promjene njegove konfiguracije i dodavanje podrške za Amazon EC2 M6i instance za eni-max-pods.
Također su vrijedna pažnje nova MCS ograničenja SELinux pravila, kao i rješavanje nekoliko problema s SELinux pravilima. Osim toga, za x86_64 platformu implementiran je hibridni način pokretanja (s podrškom za EFI i BIOS), a Open-vm-tools dodaje podršku za filtere uređaja temeljene na Cilium alatima.
S druge strane, uklonjena je kompatibilnost s verzijom distribucije aws-k8s-1.17 koja se temelji na Kubernetes 1.17, zbog čega se preporučuje upotreba varijante aws-k8s-1.21 s kompatibilnošću s Kubernetes 1.21, osim k8s varijante pomoću postavki cgroup runtime.slice i system.slice.
Od ostalih promjena koje se ističu u ovoj novoj verziji:
- Indikator regije dodan je naredbi aws-iam-authentication
- Ponovno pokrenite izmijenjene spremnike domaćina
- Ažuriran je zadani kontrolni spremnik na v0.5.2
- Eni-max-pods ažurirani su novim vrstama instanci
- Dodani su novi filtri uređaja cilium u open-vm-alate
- Uključi / var / log / kdumpen logdog tarballs
- Ažurirajte pakete trećih strana
- Dodana je valna definicija radi spore implementacije
- Dodani 'infrasys' za stvaranje TUF infra na AWS -u
- Arhivirajte stare migracije
- Dokumentacija se mijenja
Konačno, ako ste zainteresirani saznati više , detalje možete pronaći na sljedećoj poveznici.