הוכרזה יציאת הגרסה החדשה של הפצת לינוקס "Bottlerocket 1.3.0" , במסגרתה בוצעו מספר שינויים ושיפורים במערכת, שהבולטים שבהם הם תוספת מגבלות של MCS למדיניות SELinux , כמו גם פתרון למספר בעיות מדיניות SELinux, תמיכה ב-IPv6 ב-kubelet וב-pluto וגם תמיכה באתחול היברידי עבור x86_64.
למי שלא מכיר את Bottlerocket, זוהי הפצת לינוקס שפותחה בשיתוף פעולה עם אמזון כדי להפעיל קונטיינרים מבודדים ביעילות ובבטחה. גרסה חדשה זו היא בעיקר עדכון חבילה, אם כי היא כוללת גם כמה תכונות חדשות.
ההפצה מאופיינת במתן תמונת מערכת בלתי ניתנת לחלוקה המתעדכנת אוטומטית ואטומית , הכוללת את ליבת לינוקס וסביבת מערכת מינימלית הכוללת רק את הרכיבים הדרושים להפעלת קונטיינרים.
לגבי Bottlerocket
הסביבה עושה שימוש במנהל המערכת systemd, בספריית Glibc, ב-Buildroot, במנהל האתחול GRUB , בקונפיגורטור הרשת ה-wicked, בזמן הריצה של containerd לבידוד מכולות, בפלטפורמת Kubernetes, ב-AWS-iam-authenticator ובסוכן Amazon ECS.
כלי תזמור הקונטיינרים מסופקים בקונטיינרים ניהוליים נפרדים המופעלים כברירת מחדל ומנוהלים דרך API וסוכן AWS SSM. בתמונה הבסיסית חסרים מעטפת פקודה, שרת SSH ושפות מפורשות (לדוגמה, ללא Python או Perl): כלי המנהל וכלי ניפוי השגיאות מועברים לקונטיינרים שירותים נפרדים, המושבתים כברירת מחדל.
ההבדל העיקרי בהשוואה להפצות דומות כמו Fedora CoreOS, CentOS/Red Hat Atomic Host הוא המיקוד העיקרי במתן אבטחה מקסימלית בהקשר של חיזוק המערכת מפני איומים פוטנציאליים, הקשת ניצול פגיעויות ברכיבי מערכת ההפעלה והגברת בידוד המכולות.
התכונות החדשות העיקריות של Bottlerocket 1.3.0
גרסה חדשה זו של ההפצה מדגישה את תיקון הפגיעויות בערכת הכלים של Docker ובמיכל זמן הריצה (CVE-2021-41089, CVE-2021-41091, CVE-2021-41092, CVE-2021-41103) הקשורות לתצורת הרשאות שגויה, שאפשרה למשתמשים לא מורשים לעזוב את ספריית הבית ולהפעיל תוכניות חיצוניות.
בין השינויים שבוצעו, ניתן למצוא תמיכה ב-IPv6 שנוספה ל-kubelet ול-pluto , בנוסף ליכולת להפעיל מחדש את הקונטיינר לאחר שינוי התצורה שלו, והוספת תמיכה במופעי Amazon EC2 M6i ל-eni-max-pods.
כמו כן ראוי לציין את מגבלות ה-MCS החדשות על מדיניות SELinux, כמו גם את הפתרון של מספר בעיות מדיניות SELinux. בנוסף, עבור פלטפורמת x86_64, מיושם מצב אתחול היברידי (עם תמיכה ב-EFI וב-BIOS), ו-Open-vm-tools מוסיף תמיכה במסנני התקנים המבוססים על ערכת הכלים Cilium.
מצד שני, התאימות עם גרסת ההפצה aws-k8s-1.17 המבוססת על Kubernetes 1.17 בוטלה, ולכן מומלץ להשתמש בגרסת aws-k8s-1.21 עם תאימות ל- Kubernetes 1.21, בנוסף ל- גרסאות k8s באמצעות ההגדרות cgroup runtime.slice והגדרות system.slice.
מבין שאר השינויים הבולטים בגרסה חדשה זו:
- מחוון אזור נוסף לפקודה aws-iam-authenticator
- הפעל מחדש את מכולות המארח שהשתנו
- עדכן את מיכל הבקרה המוגדר כברירת מחדל ל- v0.5.2
- Eni-max-pods מעודכן עם סוגי מופעים חדשים
- נוספו מסנני מכשירי סיליום חדשים לכלי פתוח ב- vm
- כלול / var / log / kdumpen logdog logdog
- עדכן חבילות צד שלישי
- נוספה הגדרת גל ליישום איטי
- נוסף 'infrasys' ליצירת תשתית TUF ב- AWS
- העבר לארכיון הגירות ישנות
- שינויים בתיעוד
לבסוף, אם אתם מעוניינים ללמוד עוד , תוכלו למצוא פרטים נוספים בקישור הבא.