Linux dağıtımı "Bottlerocket 1.3.0"ın yeni sürümünün yayınlandığı duyuruldu. Sistemde bazı değişiklikler ve iyileştirmeler yapıldı; bunların en önemlileri arasında SELinux politikasına MCS kısıtlamalarının eklenmesi , SELinux politikasındaki çeşitli sorunların çözümü, kubelet ve pluto'da IPv6 desteği ve x86_64 için hibrit önyükleme desteği yer alıyor.
Bottlerocket'ı bilmeyenler için , Amazon ile ortaklaşa geliştirilen ve izole edilmiş konteynerleri verimli ve güvenli bir şekilde çalıştırmak için tasarlanmış bir Linux dağıtımıdır. Bu yeni sürüm öncelikle bir paket güncellemesidir, ancak bazı yeni özellikler de içermektedir.
Bu dağıtım, Linux çekirdeğini ve yalnızca konteynerleri çalıştırmak için gerekli bileşenleri içeren minimal bir sistem ortamını kapsayan, otomatik ve atomik olarak güncellenen , bölünemez bir sistem imajı sağlamasıyla karakterize edilir.
Şişe Roketi Hakkında
Bu ortam, systemd sistem yöneticisini, Glibc kütüphanesini, Buildroot'u, GRUB önyükleme yöneticisini , wicked ağ yapılandırıcısını, konteyner izolasyonu için containerd çalışma zamanını , Kubernetes platformunu, AWS-iam-authenticator'ı ve Amazon ECS aracısını kullanmaktadır .
Konteyner düzenleme araçları, varsayılan olarak etkinleştirilmiş ve AWS SSM API ve aracısı aracılığıyla yönetilen ayrı bir yönetim konteynerinde gönderilir. Temel imajda komut kabuğu, SSH sunucusu ve yorumlayıcı diller (örneğin, Python veya Perl) bulunmamaktadır: yönetici ve hata ayıklama araçları, varsayılan olarak devre dışı bırakılmış ayrı bir hizmet konteynerine taşınmıştır.
Fedora CoreOS, CentOS/Red Hat Atomic Host gibi benzer dağıtımlara kıyasla en önemli fark , sistemin potansiyel tehditlere karşı güçlendirilmesi, işletim sistemi bileşenlerindeki güvenlik açıklarından yararlanmanın zorlaştırılması ve konteyner izolasyonunun artırılması bağlamında maksimum güvenlik sağlamaya odaklanılmasıdır .
Bottlerocket 1.3.0'ın başlıca yeni özellikleri
Dağıtımın bu yeni sürümü, yetkisiz kullanıcıların ana dizinden ayrılıp harici programlar çalıştırmasına olanak tanıyan hatalı izin yapılandırmasıyla ilgili Docker Toolkit ve Runtime Container'daki güvenlik açıklarının (CVE-2021-41089, CVE-2021-41091, CVE-2021-41092, CVE-2021-41103) düzeltilmesini vurgulamaktadır.
Uygulanan değişiklikler arasında, kubelet ve pluto'ya IPv6 desteğinin eklenmesi , yapılandırma değişikliğinden sonra kapsayıcıyı yeniden başlatma özelliğinin sağlanması ve eni-max-pods'a Amazon EC2 M6i örnekleri için destek eklenmesi yer almaktadır.
Ayrıca, SELinux politikasına ilişkin yeni MCS kısıtlamaları ve çeşitli SELinux politikası sorunlarının çözümü de dikkat çekicidir . Ek olarak, x86_64 platformu için hibrit önyükleme modu (EFI ve BIOS desteğiyle) uygulanmıştır ve Open-vm-tools, Cilium araç setine dayalı aygıt filtreleri için destek eklemiştir.
Öte yandan, Kubernetes 8 tabanlı aws-k1.17s-1.17 dağıtımının sürümü ile uyumluluk ortadan kaldırılmıştır, bu nedenle Kubernetes 8 ile uyumlu aws-k1.21s-1.21 varyantının kullanılması önerilir. cgroup runtime.slice ve system.slice ayarlarını kullanan k8s varyantları.
Bu yeni sürümde öne çıkan diğer değişikliklerden:
- aws-iam-authenticator komutuna bölge bayrağı eklendi
- Değiştirilmiş ana bilgisayar kapsayıcılarını yeniden başlatın
- Varsayılan kontrol kapsayıcısını v0.5.2 olarak güncellendi
- Eni-max-pod'lar yeni örnek türleriyle güncellendi
- Open-vm-tools'a yeni siliyer cihaz filtreleri eklendi
- / var / log / kdumpen logdog tarball'larını dahil et
- Üçüncü taraf paketlerini güncelleyin
- Yavaş uygulama için dalga tanımı eklendi
- AWS'de TUF altyapısı oluşturmak için 'infrasys' eklendi
- Eski geçişleri arşivle
- Belge değişiklikleri
Son olarak, daha fazla bilgi edinmek isterseniz , ayrıntıları aşağıdaki bağlantıda bulabilirsiniz .