Lanseringen av den nya versionen av Linuxdistributionen "Bottlerocket 1.3.0" har tillkännagivits, där vissa ändringar och förbättringar har gjorts i systemet. Bland höjdpunkterna finns de tillagda begränsningarna av MCS för SELinux-policyn , samt lösningen på flera SELinux-policyproblem, IPv6-stöd i kubelet och pluto samt hybridstartstöd för x86_64.
För er som inte känner till Bottlerocket är det en Linuxdistribution som utvecklats i samarbete med Amazon för att köra isolerade containrar effektivt och säkert. Den här nya versionen är främst en paketuppdatering, men den innehåller också några nya funktioner.
Distributionen kännetecknas av att tillhandahålla en automatiskt och atomiskt uppdaterad odelbar systemavbildning som inkluderar Linuxkärnan och en minimal systemmiljö som endast inkluderar de komponenter som krävs för att köra containrar.
Om Bottlerocket
Miljön använder sig av systemhanteraren systemd, Glibc-biblioteket, Buildroot, boothanteraren GRUB , nätverkskonfiguratorn Wicked, containerd -körtiden för containerisolering, Kubernetes-plattformen, AWS-iam-authenticator och Amazon ECS-agenten.
Verktygen för containerorkestrering levereras i en separat hanteringscontainer som är aktiverad som standard och hanteras via AWS SSM API och agent. Basavbildningen saknar ett kommandoskal, en SSH-server och tolkade språk (till exempel ingen Python eller Perl): administratörs- och felsökningsverktygen flyttas till en separat tjänstecontainer, som är inaktiverad som standard.
Den viktigaste skillnaden jämfört med liknande distributioner som Fedora CoreOS, CentOS/Red Hat Atomic Host är det primära fokuset på att ge maximal säkerhet i samband med att stärka systemet mot potentiella hot, vilket gör det svårare att utnyttja sårbarheter i operativsystemkomponenter och ökar containerisoleringen.
De viktigaste nya funktionerna i Bottlerocket 1.3.0
Den här nya versionen av distributionen belyser korrigeringen av sårbarheter i Docker Toolkit och Runtime Container (CVE-2021-41089, CVE-2021-41091, CVE-2021-41092, CVE-2021-41103) relaterade till felaktig behörighetskonfiguration, vilket gjorde det möjligt för oprivilegierade användare att lämna hemkatalogen och köra externa program.
Bland de implementerade ändringarna kan vi se att IPv6-stöd har lagts till för kubelet och pluto , förutom möjligheten att starta om containern efter att dess konfiguration har ändrats, och stöd för Amazon EC2 M6i-instanser har lagts till för eni-max-pods.
Det är också anmärkningsvärt att notera de nya MCS-begränsningarna för SELinux-policyer, liksom lösningen på flera SELinux-policyproblem. Dessutom implementeras hybridstartläge (med stöd för EFI och BIOS) för x86_64-plattformen, och Open-vm-tools lägger till stöd för enhetsfilter baserade på Cilium-verktygslådan.
Å andra sidan eliminerades kompatibiliteten med versionen av aws-k8s-1.17-distributionen baserad på Kubernetes 1.17, varför det rekommenderas att använda aws-k8s-1.21-varianten med kompatibilitet med Kubernetes 1.21, förutom k8s -varianter som använder inställningarna cgroup runtime.slice och system.slice.
Av de andra förändringarna som sticker ut i den här nya versionen:
- Regionindikator läggs till kommandot aws-iam-authenticator
- Starta om modifierade värdbehållare
- Uppdaterade standardkontrollbehållaren till v0.5.2
- Eni-max-pods uppdaterade med nya instanstyper
- Lade till nya cilium-enhetsfilter till open-vm-tools
- Inkludera / var / log / kdumpen logdog tarballs
- Uppdatera paket från tredje part
- Wave definition har lagts till för långsam implementering
- Lade till 'infrasys' för att skapa TUF -infra på AWS
- Arkivera gamla migrationer
- Dokumentation ändras
Slutligen, om du är intresserad av att lära dig mer , kan du hitta detaljerna på följande länk.