Linux 发行版“Bottlerocket 1.3.0”的新版本已经发布，其中对系统进行了一些更改和改进，亮点包括：在 SELinux 策略中添加了 MCS 限制，以及解决了几个 SELinux 策略问题，kubelet 和 pluto 中支持 IPv6，以及对 x86_64 的混合启动支持。
对于不熟悉 Bottlerocket 的用户，它是一款与亚马逊合作开发的 Linux 发行版，旨在高效安全地运行隔离容器。此次新版本主要更新了软件包，但也包含一些新功能。
该发行版的特点是提供自动且原子更新的不可分割的系统镜像，其中包括 Linux 内核和一个最小的系统环境，该最小系统环境仅包含运行容器所需的组件。
关于 Bottlerocket
该环境使用了 systemd 系统管理器、Glibc 库、Buildroot、GRUB引导管理器、wicked 网络配置器、用于容器隔离的containerd运行时、 Kubernetes 平台、 AWS-iam-authenticator 和 Amazon ECS 代理。
容器编排工具位于一个单独的管理容器中，该容器默认启用，并通过 AWS SSM API 和代理进行管理。基础镜像缺少命令行 shell、SSH 服务器和解释型语言（例如，不支持 Python 或 Perl）：管理员和调试工具被移至一个单独的服务容器，该容器默认禁用。
与Fedora CoreOS、CentOS/Red Hat Atomic Host 等类似发行版相比，其主要区别在于，它主要侧重于在加强系统抵御潜在威胁的背景下提供最大程度的安全性，使操作系统组件中的漏洞更难被利用，并提高容器隔离性。
Bottlerocket 1.3.0的主要新功能
该新版本的发行版重点修复了 Docker 工具包和运行时容器中的漏洞（CVE-2021-41089、CVE-2021-41091、CVE-2021-41092、CVE-2021-41103），这些漏洞与不正确的权限配置有关，允许非特权用户离开主目录并运行外部程序。
在已实施的变更中，我们可以看到kubelet 和 pluto 添加了 IPv6 支持，此外还提供了在更改容器配置后重新启动容器的功能，并且 eni-max-pods 添加了对 Amazon EC2 M6i 实例的支持。
值得注意的是，MCS 对 SELinux 策略新增了限制，并解决了若干 SELinux 策略问题。此外，x86_64 平台实现了混合启动模式（支持 EFI 和 BIOS），Open-vm-tools 还增加了对基于 Cilium 工具包的设备过滤器的支持。
另一方面，消除了与基于 Kubernetes 8 的 aws-k1.17s-1.17 发行版版本的兼容性，这就是为什么建议使用与 Kubernetes 8 兼容的 aws-k1.21s-1.21 变体，除了使用 cgroup runtime.slice 和 system.slice 设置的 k8s 变体。
在此新版本中突出的其他更改包括：
- 添加到 aws-iam-authenticator 命令的区域标志
- 重新启动修改后的主机容器
- 将默认控件容器更新为 v0.5.2
- Eni-max-pods 更新了新的实例类型
- 向 open-vm-tools 添加了新的 cilium 设备过滤器
- 包含 /var/log/kdumpen logdog tarballs
- 更新第三方包
- 为缓慢实施添加了波定义
- 添加了“infrasys”以在 AWS 上创建 TUF 基础设施
- 存档旧迁移
- 文档更改
最后，如果您有兴趣了解更多信息，可以在以下链接中找到详细信息。