Ir paziņots par jaunās Linux distributīva "Bottlerocket 1.3.0" versijas izlaišanu, kurā sistēmā ir veiktas dažas izmaiņas un uzlabojumi, no kuriem svarīgākie ir MCS pievienotie ierobežojumi SELinux politikai , kā arī vairāku SELinux politikas problēmu risinājums, IPv6 atbalsts kubelet un pluto, kā arī hibrīda sāknēšanas atbalsts x86_64.
Tiem, kas nav pazīstami ar Bottlerocket, tā ir Linux distributīva versija, kas izstrādāta sadarbībā ar Amazon, lai efektīvi un droši darbinātu izolētus konteinerus. Šī jaunā versija galvenokārt ir pakotnes atjauninājums, lai gan tajā ir iekļautas arī dažas jaunas funkcijas.
Izplatījumu raksturo automātiski un atomiski atjaunināta nedalāma sistēmas attēla nodrošināšana, kas ietver Linux kodolu un minimālu sistēmas vidi, kurā iekļauti tikai tie komponenti, kas nepieciešami konteineru palaišanai.
Par Bottlerocket
Vide izmanto systemd sistēmas pārvaldnieku, Glibc bibliotēku, Buildroot, GRUB sāknēšanas pārvaldnieku , Wicked tīkla konfiguratoru, containerd izpildlaiku konteineru izolēšanai, Kubernetes platformu, AWS-iam-authenticator un Amazon ECS aģentu.
Konteineru orķestrēšanas rīki tiek piegādāti atsevišķā pārvaldības konteinerā, kas pēc noklusējuma ir iespējots un tiek pārvaldīts, izmantojot AWS SSM API un aģentu. Pamata attēlam trūkst komandu apvalka, SSH servera un interpretētu valodu (piemēram, nav Python vai Perl): administratora un atkļūdošanas rīki ir pārvietoti uz atsevišķu pakalpojumu konteineru, kas pēc noklusējuma ir atspējots.
Galvenā atšķirība salīdzinājumā ar līdzīgiem izplatījumiem , piemēram, Fedora CoreOS, CentOS/Red Hat Atomic Host, ir galvenā uzmanība, kas pievērsta maksimālai drošībai , stiprinot sistēmu pret iespējamiem draudiem, apgrūtinot operētājsistēmas komponentu ievainojamību izmantošanu un palielinot konteineru izolāciju.
Bottlerocket 1.3.0 galvenās jaunās iespējas
Šajā jaunajā izplatīšanas versijā ir izlabotas Docker Toolkit un Runtime Container ievainojamības (CVE-2021-41089, CVE-2021-41091, CVE-2021-41092, CVE-2021-41103), kas saistītas ar nepareizu atļauju konfigurāciju, kas ļāva neprivileģētiem lietotājiem pamest mājas direktoriju un palaist ārējas programmas.
Starp ieviestajām izmaiņām var atzīmēt IPv6 atbalsta pievienošanu kubelet un pluto , kā arī iespēju restartēt konteineru pēc tā konfigurācijas maiņas un atbalstu Amazon EC2 M6i instancēm eni-max-pods.
Jāatzīmē arī jaunie MCS ierobežojumi SELinux politikā, kā arī vairāku SELinux politikas problēmu risināšana. Turklāt x86_64 platformai ir ieviests hibrīda sāknēšanas režīms (ar EFI un BIOS atbalstu), un Open-vm-tools pievieno atbalstu ierīču filtriem, kuru pamatā ir Cilium rīkkopa.
No otras puses, tika novērsta saderība ar izplatīšanas versiju aws-k8s-1.17, kuras pamatā ir Kubernetes 1.17, tāpēc ieteicams papildus versijai aws-k8s-1.21 izmantot saderību ar Kubernetes 1.21. k8s varianti, izmantojot iestatījumus cgroup runtime.slice un system.slice.
Starp citām izmaiņām, kas izceļas šajā jaunajā versijā:
- Reģiona karogs pievienots komandai aws-iam-authenticator
- Restartējiet modificētos resursdatora konteinerus
- Atjaunināts noklusējuma vadības konteiners uz v0.5.2
- Eni-max-pods atjaunināts ar jauniem instanču veidiem
- Open-vm-tools ir pievienoti jauni cilium ierīču filtri
- Iekļaut / var / log / kdumpen logdog tarballs
- Atjauniniet trešo pušu pakotnes
- Viļņu definīcija pievienota lēnai ieviešanai
- Pievienotas “infrasys”, lai AWS izveidotu TUF infra
- Arhivēt vecās migrācijas
- Dokumentācijas izmaiņas
Visbeidzot, ja vēlaties uzzināt vairāk , informāciju varat atrast , izmantojot tālāk norādīto saiti.