Pelancaran versi baharu pengedaran Linux "Bottlerocket 1.3.0" telah diumumkan, di mana beberapa perubahan dan penambahbaikan telah dibuat pada sistem, yang mana antaranya ialah sekatan tambahan MCS pada dasar SELinux , serta penyelesaian kepada beberapa masalah dasar SELinux, sokongan IPv6 dalam kubelet dan pluto dan juga sokongan but hibrid untuk x86_64.
Bagi mereka yang tidak biasa dengan Bottlerocket, ia merupakan pengedaran Linux yang dibangunkan dengan kerjasama Amazon untuk menjalankan kontena terpencil dengan cekap dan selamat. Versi baharu ini terutamanya merupakan kemas kini pakej, walaupun ia juga merangkumi beberapa ciri baharu.
Pengedaran ini dicirikan dengan menyediakan imej sistem yang tidak boleh dibahagikan yang dikemas kini secara automatik dan atom yang merangkumi kernel Linux dan persekitaran sistem minimum yang hanya merangkumi komponen yang diperlukan untuk menjalankan kontena.
Mengenai Bottlerocket
Persekitaran ini menggunakan pengurus sistem systemd, pustaka Glibc, Buildroot, pengurus but GRUB , konfigurasi rangkaian wicked, runtime containerd untuk pengasingan container, platform Kubernetes, AWS-iam-authenticator dan ejen Amazon ECS.
Alatan orkestrasi kontena dihantar dalam kontena pengurusan berasingan yang diaktifkan secara lalai dan diuruskan melalui API dan ejen AWS SSM. Imej asas tidak mempunyai shell arahan, pelayan SSH dan bahasa yang ditafsirkan (contohnya, tiada Python atau Perl): pentadbir dan alat penyahpepijatan dipindahkan ke kontena perkhidmatan berasingan, yang dinyahdayakan secara lalai.
Perbezaan utama berbanding pengedaran serupa seperti Fedora CoreOS, CentOS/Red Hat Atomic Host adalah fokus utama untuk menyediakan keselamatan maksimum dalam konteks pengukuhan sistem terhadap potensi ancaman, menjadikannya lebih sukar untuk mengeksploitasi kelemahan dalam komponen sistem pengendalian dan meningkatkan pengasingan kontena.
Ciri baru utama Bottlerocket 1.3.0
Versi baharu pengedaran ini mengetengahkan pembetulan kelemahan dalam Docker Toolkit dan Runtime Container (CVE-2021-41089, CVE-2021-41091, CVE-2021-41092, CVE-2021-41103) yang berkaitan dengan konfigurasi kebenaran yang salah, yang membenarkan pengguna yang tidak berkemampuan untuk meninggalkan direktori utama dan menjalankan program luaran.
Antara perubahan yang dilaksanakan, kita dapati sokongan IPv6 telah ditambah pada kubelet dan pluto , selain menyediakan keupayaan untuk memulakan semula kontena selepas menukar konfigurasinya dan menambah sokongan untuk instans Amazon EC2 M6i pada eni-max-pods.
Turut diberi perhatian ialah sekatan MCS baharu pada dasar SELinux, serta penyelesaian beberapa isu dasar SELinux. Di samping itu, untuk platform x86_64, mod but hibrid dilaksanakan (dengan sokongan untuk EFI dan BIOS), dan Open-vm-tools menambah sokongan untuk penapis peranti berdasarkan kit alat Cilium.
Sebaliknya, keserasian dengan versi pengedaran aws-k8s-1.17 berdasarkan Kubernetes 1.17 telah dihapuskan, sebab itulah disarankan untuk menggunakan varian aws-k8s-1.21 dengan keserasian dengan Kubernetes 1.21, selain varian k8 menggunakan tetapan runtime.slice dan system.slice cgroup.
Perubahan lain yang menonjol dalam versi baru ini:
- Bendera wilayah ditambahkan pada perintah pengesah aws-iam
- Mulakan semula bekas host yang diubah suai
- Mengemas kini bekas kawalan lalai ke v0.5.2
- Eni-max-pod dikemas kini dengan jenis contoh baru
- Menambah penapis peranti cilium baru ke alat-vm terbuka
- Sertakan / var / log / kdumpen logdog tarball
- Kemas kini pakej pihak ketiga
- Definisi gelombang ditambahkan untuk pelaksanaan yang perlahan
- Menambah 'infrasys' untuk membuat infra TUF di AWS
- Arkibkan migrasi lama
- Dokumentasi berubah
Akhir sekali, jika anda berminat untuk mengetahui lebih lanjut , anda boleh mendapatkan butiran lanjut di pautan berikut.