De release van de nieuwe versie van de Linux-distributie "Bottlerocket 1.3.0" is aangekondigd. Deze versie bevat een aantal wijzigingen en verbeteringen aan het systeem, met als belangrijkste toevoegingen de MCS-beperkingen aan het SELinux-beleid , de oplossing voor diverse problemen met het SELinux-beleid, IPv6-ondersteuning in kubelet en pluto, en ondersteuning voor hybride opstarten voor x86_64.
Voor wie Bottlerocket niet kent : het is een Linux-distributie die in samenwerking met Amazon is ontwikkeld om geïsoleerde containers efficiënt en veilig uit te voeren. Deze nieuwe versie is voornamelijk een pakketupdate, maar bevat ook enkele nieuwe functies.
De distributie kenmerkt zich door het leveren van een automatisch en atomisch bijgewerkt, ondeelbaar systeemimage dat de Linux-kernel en een minimale systeemomgeving bevat met alleen de componenten die nodig zijn om containers uit te voeren.
Over Bottlerocket
De omgeving maakt gebruik van de systemd-systeembeheerder, de Glibc-bibliotheek, Buildroot, de GRUB- opstartmanager , de wicked-netwerkconfigurator, de containerd -runtime voor containerisolatie, het Kubernetes-platform, AWS-iam-authenticator en de Amazon ECS-agent.
De tools voor containerorkestratie worden geleverd in een aparte beheercontainer die standaard is ingeschakeld en wordt beheerd via de AWS SSM API en agent. De basisimage mist een command shell, een SSH-server en geïnterpreteerde talen (bijvoorbeeld geen Python of Perl): de beheerders- en debugtools zijn verplaatst naar een aparte servicecontainer, die standaard is uitgeschakeld.
Het belangrijkste verschil met vergelijkbare distributies zoals Fedora CoreOS en CentOS/Red Hat Atomic Host is de primaire focus op het bieden van maximale beveiliging. Dit houdt in dat het systeem beter bestand is tegen potentiële bedreigingen, waardoor het moeilijker wordt om kwetsbaarheden in besturingssysteemcomponenten te misbruiken en de isolatie van containers wordt verbeterd.
Belangrijkste nieuwe kenmerken van Bottlerocket 1.3.0
Deze nieuwe versie van de distributie benadrukt de correctie van kwetsbaarheden in de Docker Toolkit en Runtime Container (CVE-2021-41089, CVE-2021-41091, CVE-2021-41092, CVE-2021-41103) die verband hielden met een onjuiste configuratie van de machtigingen, waardoor gebruikers zonder beheerdersrechten de thuismap konden verlaten en externe programma's konden uitvoeren.
Tot de doorgevoerde wijzigingen behoren de toevoeging van IPv6-ondersteuning aan kubelet en pluto , de mogelijkheid om de container opnieuw op te starten na een configuratiewijziging en de toevoeging van ondersteuning voor Amazon EC2 M6i-instanties aan eni-max-pods.
Ook noemenswaardig zijn de nieuwe MCS-beperkingen op het SELinux-beleid, evenals de oplossing van verschillende problemen met het SELinux-beleid. Daarnaast is voor het x86_64-platform de hybride opstartmodus geïmplementeerd (met ondersteuning voor EFI en BIOS), en biedt Open-vm-tools ondersteuning voor apparaatfilters op basis van de Cilium-toolkit.
Aan de andere kant werd de compatibiliteit met de versie van de aws-k8s-1.17-distributie op basis van Kubernetes 1.17 geëlimineerd, daarom wordt aanbevolen om de aws-k8s-1.21-variant te gebruiken met compatibiliteit met Kubernetes 1.21, naast de k8s varianten met behulp van de cgroup runtime.slice en system.slice instellingen.
Van de andere veranderingen die opvallen in deze nieuwe versie:
- Regiovlag toegevoegd aan de opdracht aws-iam-authenticator
- Herstart gewijzigde hostcontainers
- De standaardcontrolecontainer bijgewerkt naar v0.5.2
- Eni-max-pods bijgewerkt met nieuwe instantietypen
- Nieuwe cilium-apparaatfilters toegevoegd aan open-vm-tools
- Inclusief / var / log / kdumpen logdog tarballs
- Pakketten van derden bijwerken
- Golfdefinitie toegevoegd voor langzame implementatie
- 'infrasys' toegevoegd om TUF-infra op AWS te maken
- Oude migraties archiveren
- Documentatie wijzigingen
Als u tot slot meer wilt weten , kunt u de details vinden via de volgende link.