Foi anunciado o lançamento da nova versão da distribuição Linux "Bottlerocket 1.3.0" , que traz algumas mudanças e melhorias no sistema. Os destaques incluem a adição de restrições do MCS à política SELinux , a solução de diversos problemas relacionados à política SELinux, suporte a IPv6 no kubelet e pluto, além de suporte a inicialização híbrida para x86_64.
Para quem não conhece o Bottlerocket, trata-se de uma distribuição Linux desenvolvida em parceria com a Amazon para executar contêineres isolados de forma eficiente e segura. Esta nova versão é principalmente uma atualização de pacotes, embora também inclua alguns novos recursos.
A distribuição se caracteriza por fornecer uma imagem de sistema indivisível, atualizada automaticamente e atomicamente, que inclui o kernel do Linux e um ambiente de sistema mínimo contendo apenas os componentes necessários para executar contêineres.
Sobre a Bottlerocket
O ambiente utiliza o gerenciador de sistemas systemd, a biblioteca Glibc, o Buildroot, o gerenciador de inicialização GRUB , o configurador de rede wicked, o ambiente de execução containerd para isolamento de contêineres, a plataforma Kubernetes, o autenticador AWS-iam e o agente Amazon ECS.
As ferramentas de orquestração de contêineres são distribuídas em um contêiner de gerenciamento separado, habilitado por padrão e gerenciado por meio da API e do agente do AWS SSM. A imagem base não inclui um shell de comando, um servidor SSH e linguagens interpretadas (por exemplo, Python ou Perl): as ferramentas de administração e depuração são movidas para um contêiner de serviços separado, que está desabilitado por padrão.
A principal diferença em comparação com distribuições semelhantes como Fedora CoreOS, CentOS/Red Hat Atomic Host reside no foco primordial em fornecer segurança máxima, fortalecendo o sistema contra potenciais ameaças, dificultando a exploração de vulnerabilidades em componentes do sistema operacional e aumentando o isolamento de contêineres.
Principais novos recursos do Bottlerocket 1.3.0
Esta nova versão da distribuição destaca a correção de vulnerabilidades no Docker Toolkit e no contêiner de tempo de execução (CVE-2021-41089, CVE-2021-41091, CVE-2021-41092, CVE-2021-41103) relacionadas à configuração incorreta de permissões, que permitia que usuários sem privilégios saíssem do diretório inicial e executassem programas externos.
Entre as mudanças implementadas, podemos notar a adição de suporte a IPv6 para kubelet e pluto , além da possibilidade de reiniciar o contêiner após alterar sua configuração, e a adição de suporte para instâncias Amazon EC2 M6i ao eni-max-pods.
Merecem destaque também as novas restrições do MCS na política SELinux, bem como a resolução de diversos problemas relacionados a essa política. Além disso, para a plataforma x86_64, o modo de inicialização híbrida foi implementado (com suporte para EFI e BIOS), e o Open-vm-tools adicionou suporte para filtros de dispositivos baseados no toolkit Cilium.
Por outro lado, a compatibilidade com a versão da distribuição aws-k8s-1.17 baseada no Kubernetes 1.17 foi eliminada, por isso é recomendado o uso da variante aws-k8s-1.21 com compatibilidade com Kubernetes 1.21, além do variantes k8s usando as configurações cgroup runtime.slice e system.slice.
Das outras mudanças que se destacam nesta nova versão:
- Indicador de região adicionado ao comando aws-iam-authenticator
- Reinicie os contêineres de host modificados
- Atualizado o contêiner de controle padrão para v0.5.2
- Eni-max-pods atualizados com novos tipos de instância
- Adicionados novos filtros de dispositivo cilium para open-vm-tools
- Incluir arquivos tar / var / log / kdumpen logdog
- Atualizar pacotes de terceiros
- Definição de onda adicionada para implementação lenta
- Adicionado 'infrasys' para criar infra TUF no AWS
- Arquivar migrações antigas
- Mudanças na documentação
Por fim, se tiver interesse em saber mais , você pode encontrar os detalhes no seguinte link.