Rilis versi baru distribusi Linux "Bottlerocket 1.3.0" telah diumumkan, di mana beberapa perubahan dan peningkatan telah dilakukan pada sistem, yang paling menonjol adalah penambahan pembatasan MCS pada kebijakan SELinux , serta solusi untuk beberapa masalah kebijakan SELinux, dukungan IPv6 di kubelet dan pluto, dan juga dukungan boot hibrida untuk x86_64.
Bagi yang belum familiar dengan Bottlerocket, ini adalah distribusi Linux yang dikembangkan bekerja sama dengan Amazon untuk menjalankan kontainer terisolasi secara efisien dan aman. Versi baru ini terutama merupakan pembaruan paket, meskipun juga menyertakan beberapa fitur baru.
Distribusi ini dicirikan dengan menyediakan citra sistem yang tidak terbagi dan diperbarui secara otomatis dan atomik yang mencakup kernel Linux dan lingkungan sistem minimal yang hanya mencakup komponen yang diperlukan untuk menjalankan kontainer.
Tentang Bottlerocket
Lingkungan ini menggunakan pengelola sistem systemd, pustaka Glibc, Buildroot, pengelola boot GRUB , konfigurator jaringan wicked, runtime containerd untuk isolasi kontainer, platform Kubernetes, AWS-iam-authenticator, dan agen Amazon ECS.
Alat orkestrasi kontainer dikirimkan dalam kontainer manajemen terpisah yang diaktifkan secara default dan dikelola melalui API dan agen AWS SSM. Citra dasar tidak memiliki shell perintah, server SSH, dan bahasa yang diinterpretasikan (misalnya, tidak ada Python atau Perl): alat administrasi dan debugging dipindahkan ke kontainer layanan terpisah, yang dinonaktifkan secara default.
Perbedaan utama dibandingkan dengan distribusi serupa seperti Fedora CoreOS, CentOS/Red Hat Atomic Host adalah fokus utama pada penyediaan keamanan maksimum dalam konteks memperkuat sistem terhadap potensi ancaman, mempersulit eksploitasi kerentanan pada komponen sistem operasi, dan meningkatkan isolasi kontainer.
Fitur baru utama Bottlerocket 1.3.0
Versi distribusi terbaru ini menyoroti perbaikan kerentanan pada Docker Toolkit dan Runtime Container (CVE-2021-41089, CVE-2021-41091, CVE-2021-41092, CVE-2021-41103) yang terkait dengan konfigurasi izin yang salah, yang memungkinkan pengguna tanpa hak istimewa untuk meninggalkan direktori home dan menjalankan program eksternal.
Di antara perubahan yang diterapkan, kita dapat menemukan bahwa dukungan IPv6 telah ditambahkan ke kubelet dan pluto , di samping menyediakan kemampuan untuk memulai ulang kontainer setelah mengubah konfigurasinya, dan menambahkan dukungan untuk instance Amazon EC2 M6i ke eni-max-pods.
Hal lain yang patut diperhatikan adalah pembatasan MCS baru pada kebijakan SELinux, serta penyelesaian beberapa masalah kebijakan SELinux. Selain itu, untuk platform x86_64, mode boot hibrida diimplementasikan (dengan dukungan untuk EFI dan BIOS), dan Open-vm-tools menambahkan dukungan untuk filter perangkat berdasarkan toolkit Cilium.
Di sisi lain, kompatibilitas dengan versi distribusi aws-k8s-1.17 berdasarkan Kubernetes 1.17 dihilangkan, oleh karena itu disarankan untuk menggunakan varian aws-k8s-1.21 dengan kompatibilitas dengan Kubernetes 1.21, selain versi k8s varian menggunakan cgroup runtime.slice dan pengaturan system.slice.
Dari perubahan lain yang menonjol di versi baru ini:
- Indikator wilayah ditambahkan ke perintah aws-iam-authenticator
- Mulai ulang penampung host yang dimodifikasi
- Memperbarui wadah kontrol default ke v0.5.2
- Eni-max-pod diperbarui dengan tipe instans baru
- Menambahkan filter perangkat silia baru ke open-vm-tools
- Sertakan / var / log / kdumpen logdog tarball
- Perbarui paket pihak ketiga
- Definisi gelombang ditambahkan untuk implementasi yang lambat
- Menambahkan 'infrasys' untuk membuat infra TUF di AWS
- Arsipkan migrasi lama
- Perubahan dokumentasi
Terakhir, jika Anda tertarik untuk mempelajari lebih lanjut , Anda dapat menemukan detailnya di tautan berikut.