Bolo oznámené vydanie novej verzie linuxovej distribúcie „Bottlerocket 1.3.0“ , v ktorej boli v systéme vykonané niektoré zmeny a vylepšenia, z ktorých najdôležitejšími sú pridané obmedzenia MCS do politiky SELinux , ako aj riešenie niekoľkých problémov s politikou SELinux, podpora IPv6 v kubelet a pluto a tiež podpora hybridného bootovania pre x86_64.
Pre tých, ktorí nepoznajú Bottlerocket, ide o linuxovú distribúciu vyvinutú v spolupráci so spoločnosťou Amazon na efektívne a bezpečné spúšťanie izolovaných kontajnerov. Táto nová verzia je primárne aktualizáciou balíka, hoci obsahuje aj niektoré nové funkcie.
Distribúcia sa vyznačuje poskytovaním automaticky a atomicky aktualizovaného nedeliteľného obrazu systému , ktorý obsahuje jadro Linuxu a minimálne systémové prostredie, ktoré obsahuje iba komponenty potrebné na spustenie kontajnerov.
O Bottlerocket
Prostredie využíva správcu systému systemd, knižnicu Glibc, Buildroot, správcu zavádzania GRUB , konfigurátor siete Wicked, runtime prostredie containerds na izoláciu kontajnerov, platformu Kubernetes, AWS-iam-authenticator a agenta Amazon ECS.
Nástroje na orchestráciu kontajnerov sa dodávajú v samostatnom kontajneri pre správu, ktorý je štandardne povolený a spravovaný prostredníctvom rozhrania AWS SSM API a agenta. Základný obraz neobsahuje príkazový shell, server SSH a interpretované jazyky (napríklad Python alebo Perl): nástroje pre správu a ladenie sú presunuté do samostatného kontajnera služieb, ktorý je štandardne zakázaný.
Kľúčový rozdiel v porovnaní s podobnými distribúciami ako Fedora CoreOS, CentOS/Red Hat Atomic Host spočíva v primárnom zameraní na poskytovanie maximálnej bezpečnosti v kontexte posilnenia systému pred potenciálnymi hrozbami, čo sťažuje zneužívanie zraniteľností v komponentoch operačného systému a zvyšuje izoláciu kontajnerov.
Hlavné nové funkcie Bottlerocket 1.3.0
Táto nová verzia distribúcie zdôrazňuje opravu zraniteľností v Docker Toolkit a Runtime Container (CVE-2021-41089, CVE-2021-41091, CVE-2021-41092, CVE-2021-41103) súvisiacich s nesprávnou konfiguráciou oprávnení, ktorá umožňovala neprivilegovaným používateľom opustiť domovský adresár a spúšťať externé programy.
Medzi implementovanými zmenami možno nájsť pridanie podpory IPv6 do kubelet a pluto , okrem toho, že poskytuje možnosť reštartovať kontajner po zmene jeho konfigurácie a pridáva podporu pre inštancie Amazon EC2 M6i do eni-max-pods.
Za zmienku stoja aj nové obmedzenia MCS týkajúce sa politiky SELinuxu, ako aj vyriešenie niekoľkých problémov s politikou SELinuxu. Okrem toho je pre platformu x86_64 implementovaný hybridný režim bootovania (s podporou EFI a BIOS) a Open-vm-tools pridáva podporu pre filtre zariadení založené na sade nástrojov Cilium.
Na druhej strane bola eliminovaná kompatibilita s verziou distribúcie aws-k8s-1.17 na základe Kubernetes 1.17, a preto sa odporúča okrem variantu varianty k8s využívajúce nastavenia cgroup runtime.slice a system.slice.
Z ďalších zmien, ktoré vynikajú v tejto novej verzii:
- Do príkazu aws-iam-authenticator bol pridaný indikátor oblasti
- Reštartujte upravené hostiteľské kontajnery
- Aktualizovaný predvolený riadiaci kontajner na v0.5.2
- Eni-max-pods aktualizované o nové typy inštancií
- Do nástrojov open-vm boli pridané nové filtre cilium
- Zahrnúť / var / log / kdumpen logdog tarballs
- Aktualizujte balíky tretích strán
- Pridaná definícia vlny pre pomalú implementáciu
- Pridané 'infrasys' na vytvorenie TUF infra na AWS
- Archivujte staré migrácie
- Zmeny dokumentácie
Na záver, ak máte záujem dozvedieť sa viac , podrobnosti nájdete na nasledujúcom odkaze.