Është njoftuar publikimi i versionit të ri të shpërndarjes Linux "Bottlerocket 1.3.0" , në të cilin janë bërë disa ndryshime dhe përmirësime në sistem, pikat kryesore të të cilave janë kufizimet e shtuara të MCS në politikën SELinux , si dhe zgjidhja për disa probleme të politikave SELinux, mbështetja për IPv6 në kubelet dhe pluto dhe gjithashtu mbështetja e nisjes hibride për x86_64.
Për ata që nuk janë të njohur me Bottlerocket, është një shpërndarje Linux e zhvilluar në partneritet me Amazon për të drejtuar kontejnerë të izoluar në mënyrë efikase dhe të sigurt. Ky version i ri është kryesisht një përditësim i paketës, megjithëse përfshin edhe disa veçori të reja.
Shpërndarja karakterizohet nga ofrimi i një imazhi të pandashëm të sistemit të përditësuar automatikisht dhe atomikisht që përfshin kernelin Linux dhe një mjedis minimal sistemi që përfshin vetëm komponentët e nevojshëm për të ekzekutuar kontejnerët.
Rreth Bottlerocket
Mjedisi përdor menaxherin e sistemit systemd, bibliotekën Glibc, Buildroot, menaxherin e nisjes GRUB , konfiguruesin e rrjetit wicked, kohën e ekzekutimit të kontejnerëve për izolimin e kontejnerëve, platformën Kubernetes, AWS-iam-authenticatorin dhe agjentin Amazon ECS.
Mjetet e orkestrimit të kontejnerëve dërgohen në një kontejner të veçantë menaxhimi që aktivizohet si parazgjedhje dhe menaxhohet përmes API-t dhe agjentit AWS SSM. Imazhi bazë nuk ka një shell komandash, një server SSH dhe gjuhë të interpretuara (për shembull, nuk ka Python ose Perl): mjetet e administratorit dhe të debugging-ut zhvendosen në një kontejner të veçantë shërbimesh, i cili është i çaktivizuar si parazgjedhje.
Dallimi kryesor krahasuar me shpërndarje të ngjashme si Fedora CoreOS, CentOS/Red Hat Atomic Host është fokusi kryesor në ofrimin e sigurisë maksimale në kontekstin e forcimit të sistemit kundër kërcënimeve të mundshme, duke e bërë më të vështirë shfrytëzimin e dobësive në komponentët e sistemit operativ dhe rritjen e izolimit të kontejnerëve.
Karakteristikat kryesore të reja të Shisheve 1.3.0
Ky version i ri i shpërndarjes nxjerr në pah korrigjimin e dobësive në Docker Toolkit dhe Runtime Container (CVE-2021-41089, CVE-2021-41091, CVE-2021-41092, CVE-2021-41103) që lidhen me konfigurimin e gabuar të lejeve, i cili u lejonte përdoruesve pa privilegje të largoheshin nga direktoria kryesore dhe të ekzekutonin programe të jashtme.
Ndër ndryshimet e zbatuara, mund të zbulojmë se mbështetja për IPv6 është shtuar në kubelet dhe pluto , përveç ofrimit të mundësisë për të rinisur kontejnerin pas ndryshimit të konfigurimit të tij, dhe shtimit të mbështetjes për instancat e Amazon EC2 M6i në eni-max-pods.
Gjithashtu, vlen të përmendet se kufizimet e reja të MCS në politikën SELinux, si dhe zgjidhja e disa problemeve të politikës SELinux. Përveç kësaj, për platformën x86_64, zbatohet modaliteti hibrid i nisjes (me mbështetje për EFI dhe BIOS), dhe Open-vm-tools shton mbështetje për filtrat e pajisjeve bazuar në paketën e mjeteve Cilium.
Nga ana tjetër, pajtueshmëria me versionin e shpërndarjes aws-k8s-1.17 bazuar në Kubernetes 1.17 u eliminua, kjo është arsyeja pse rekomandohet të përdorni variantin aws-k8s-1.21 me pajtueshmëri me Kubernetes 1.21, përveç variantet k8s duke përdorur cilësimet e ekzekutimit të cgroup.slice dhe system.sice.
Nga ndryshimet e tjera që bien në sy në këtë version të ri:
- Treguesi i rajonit u shtua në komandën aws-iam-authenticator
- Rinisni kontejnerët e modifikuar të hostit
- Përditësoi enën e kontrollit të paracaktuar në v0.5.2
- Eni-max-pods përditësuar me lloje të reja shembujsh
- Shtohen filtra të rinj të pajisjes cilium në mjetet e hapura-vm
- Përfshi tarbars / var / log / kdumpen logdog
- Përditësoni paketat e palëve të treta
- Përkufizimi i valës u shtua për zbatim të ngadaltë
- Shtuar 'infrasys' për të krijuar infra TUF në AWS
- Arkivoni migrimet e vjetra
- Dokumentacioni ndryshon
Së fundmi, nëse jeni të interesuar të mësoni më shumë , mund t'i gjeni detajet në lidhjen e mëposhtme.