Оголошено про випуск нової версії дистрибутива Linux "Bottlerocket 1.3.0" , в якій до системи було внесено деякі зміни та покращення, основними з яких є додані обмеження MCS до політики SELinux , а також вирішення кількох проблем політики SELinux, підтримка IPv6 в kubelet та pluto, а також підтримка гібридного завантаження для x86_64.
Для тих, хто не знайомий з Bottlerocket, це дистрибутив Linux, розроблений у партнерстві з Amazon для ефективного та безпечного запуску ізольованих контейнерів. Ця нова версія є, перш за все, оновленням пакета, хоча вона також містить деякі нові функції.
Дистрибутив характеризується тим, що надає автоматично та атомарно оновлюваний неподільний образ системи , який включає ядро Linux та мінімальне системне середовище, що містить лише компоненти, необхідні для запуску контейнерів.
Про пляшку
Середовище використовує системний менеджер systemd, бібліотеку Glibc, Buildroot, менеджер завантаження GRUB , конфігуратор мережі wicked, середовище виконання containerd для ізоляції контейнерів, платформу Kubernetes, AWS-iam-authenticator та агент Amazon ECS.
Інструменти оркестрації контейнерів постачаються в окремому контейнері керування, який увімкнено за замовчуванням та керується через API та агент AWS SSM. У базовому образі відсутні командна оболонка, SSH-сервер та інтерпретовані мови (наприклад, немає Python або Perl): інструменти адміністрування та налагодження переміщені в окремий контейнер служб, який за замовчуванням вимкнено.
Ключова відмінність у порівнянні з подібними дистрибутивами, такими як Fedora CoreOS, CentOS/Red Hat Atomic Host, полягає в основній спрямованості на забезпечення максимальної безпеки в контексті зміцнення системи від потенційних загроз, що ускладнює використання вразливостей у компонентах операційної системи та збільшує ізоляцію контейнерів.
Основні нові можливості Bottlerocket 1.3.0
У цій новій версії дистрибутива виправлено вразливості в Docker Toolkit та Runtime Container (CVE-2021-41089, CVE-2021-41091, CVE-2021-41092, CVE-2021-41103), пов'язані з неправильною конфігурацією дозволів, що дозволяло непривілейованим користувачам залишати домашній каталог та запускати зовнішні програми.
Серед впроваджених змін можна виділити додану підтримку IPv6 до kubelet та pluto , а також можливість перезапуску контейнера після зміни його конфігурації та додану підтримку екземплярів Amazon EC2 M6i до eni-max-pods.
Також варто відзначити нові обмеження MCS щодо політики SELinux, а також вирішення кількох проблем із політикою SELinux. Крім того, для платформи x86_64 реалізовано гібридний режим завантаження (з підтримкою EFI та BIOS), а Open-vm-tools додає підтримку фільтрів пристроїв на основі інструментарію Cilium.
З іншого боку, сумісність з версією дистрибутива aws-k8s-1.17 на основі Kubernetes 1.17 була ліквідована, тому рекомендується використовувати варіант aws-k8s-1.21 із сумісністю з Kubernetes 1.21, на додаток до варіанти k8s за допомогою параметрів cgroup runtime.slice та system.slice.
З інших змін, які виділяються в цій новій версії:
- Індикатор регіону додано до команди aws-iam-authentication
- Перезапустіть змінені контейнери хостів
- Оновлено стандартний контейнер керування до v0.5.2
- Eni-max-pods оновлено новими типами екземплярів
- До інструментів open-vm додано нові фільтри пристрою cilium
- Включити / var / log / kdumpen logdog tarballs
- Оновіть сторонні пакети
- Додано визначення хвилі для повільної реалізації
- Додано "інфразси" для створення TUF інфра на AWS
- Архівуйте старі міграції
- Зміни документації
Зрештою, якщо ви зацікавлені дізнатися більше , ви можете знайти деталі за наступним посиланням.