A fost anunțată lansarea noii versiuni a distribuției Linux „Bottlerocket 1.3.0” , în cadrul căreia au fost aduse câteva modificări și îmbunătățiri sistemului, printre care se numără adăugarea restricțiilor MCS la politica SELinux , precum și soluționarea mai multor probleme legate de politica SELinux, suport IPv6 în kubelet și pluto și, de asemenea, suport pentru bootare hibridă pentru x86_64.
Pentru cei care nu sunt familiarizați cu Bottlerocket, este o distribuție Linux dezvoltată în parteneriat cu Amazon pentru a rula containere izolate eficient și în siguranță. Această nouă versiune este în principal o actualizare a pachetului, deși include și câteva funcții noi.
Distribuția se caracterizează prin furnizarea unei imagini de sistem indivizibile actualizate automat și atomic , care include kernelul Linux și un mediu de sistem minimal ce include doar componentele necesare pentru rularea containerelor.
Despre Bottlerocket
Mediul utilizează managerul de sistem systemd, biblioteca Glibc, Buildroot, managerul de boot GRUB , configuratorul de rețea wicked, runtime-ul containerd pentru izolarea containerelor, platforma Kubernetes, AWS-iam-authenticator și agentul Amazon ECS.
Instrumentele de orchestrare a containerelor sunt livrate într-un container de gestionare separat, care este activat în mod implicit și gestionat prin intermediul API-ului și agentului AWS SSM. Imaginea de bază nu are un shell de comenzi, un server SSH și limbaje interpretate (de exemplu, nu are Python sau Perl): instrumentele de administrare și de depanare sunt mutate într-un container de servicii separat, care este dezactivat în mod implicit.
Diferența cheie față de distribuții similare precum Fedora CoreOS, CentOS/Red Hat Atomic Host este accentul pus pe asigurarea unei securități maxime în contextul consolidării sistemului împotriva potențialelor amenințări, îngreunând exploatarea vulnerabilităților din componentele sistemului de operare și sporind izolarea containerelor.
Principalele caracteristici noi ale Bottlerocket 1.3.0
Această nouă versiune a distribuției evidențiază corectarea vulnerabilităților din Docker Toolkit și Runtime Container (CVE-2021-41089, CVE-2021-41091, CVE-2021-41092, CVE-2021-41103) legate de configurarea incorectă a permisiunilor, care permitea utilizatorilor neprivilegiați să părăsească directorul principal și să ruleze programe externe.
Printre modificările implementate, putem găsi adăugarea suportului IPv6 la kubelet și pluto , pe lângă faptul că oferă posibilitatea de a reporni containerul după modificarea configurației sale și adăugarea suportului pentru instanțele Amazon EC2 M6i la eni-max-pods.
De asemenea, sunt de remarcat noile restricții MCS privind politica SELinux, precum și rezolvarea mai multor probleme legate de politica SELinux. În plus, pentru platforma x86_64, este implementat modul de bootare hibrid (cu suport pentru EFI și BIOS), iar Open-vm-tools adaugă suport pentru filtre de dispozitive bazate pe setul de instrumente Cilium.
Pe de altă parte, a fost eliminată compatibilitatea cu versiunea distribuției aws-k8s-1.17 bazată pe Kubernetes 1.17, motiv pentru care se recomandă utilizarea variantei aws-k8s-1.21 cu compatibilitate cu Kubernetes 1.21, pe lângă Variante k8s folosind setările cgroup runtime.slice și system.slice.
Dintre celelalte modificări care se remarcă în această nouă versiune:
- Steagul regiunii a fost adăugat la comanda aws-iam-authenticator
- Reporniți containerele gazdă modificate
- Actualizat containerul de control implicit la v0.5.2
- Eni-max-pods actualizate cu noi tipuri de instanțe
- S-au adăugat noi filtre de dispozitive cilium la open-vm-tools
- Includeți / var / log / kdumpen logdog tarballs
- Actualizați pachetele terță parte
- Definiție Wave adăugată pentru implementare lentă
- S-a adăugat „infrasys” pentru a crea infra TUF pe AWS
- Arhivează migrațiile vechi
- Modificări ale documentației
În cele din urmă, dacă sunteți interesați să aflați mai multe , puteți găsi detalii la linkul următor.