The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

Выпуск Bottlerocket 1.2, дистрибутива на базе изолированных контейнеров

08.08.2021 12:40

Доступен выпуск Linux-дистрибутива Bottlerocket 1.2.0, развиваемого при участии компании Amazon для эффективного и безопасного запуска изолированных контейнеров. Инструментарий и управляющие компоненты дистрибутива написаны на языке Rust и распространяются под лицензиями MIT и Apache 2.0. Поддерживается запуск Bottlerocket в кластерах Amazon ECS, VMware и AWS EKS Kubernetes, а также создание произвольных сборок и редакций, допускающих применение различных инструментов оркестровки и runtime для контейнеров.

Дистрибутив предоставляет атомарно и автоматически обновляемый неделимый системный образ, включающий ядро Linux и минимальное системное окружение, включающие только компоненты, необходимые для запуска контейнеров. В окружении задействованы системный менеджер systemd, библиотека Glibc, сборочный инструментарий Buildroot, загрузчик GRUB, конфигуратор сети wicked, runtime для изолированных контейнеров containerd, платформа оркестровки контейнеров Kubernetes, аутентификатор aws-iam-authenticator и агент Amazon ECS.

Инструменты для оркестровки контейнеров поставляются в отдельном управляющем контейнере, который включается по умолчанию и управляется через API и AWS SSM Agent. В базовом образе отсутствует командная оболочка, сервер SSH и интерпретируемые языки (например, нет Python или Perl) - средства для администратора и отладочные инструменты вынесены в отдельный служебный контейнер, который по умолчанию отключён.

Ключевым отличием от похожих дистрибутивов, таких как Fedora CoreOS, CentOS/Red Hat Atomic Host является первичная ориентация на предоставление максимальной безопасности в контексте усиления защиты системы от возможных угроз, усложнения эксплуатации уязвимостей в компонентах ОС и повышения изоляции контейнеров. Контейнеры создаются при помощи штатных механизмов ядра Linux - cgroups, пространств имён и seccomp. Для дополнительной изоляции в дистрибутиве применяется SELinux в режиме "enforcing".

Корневой раздел монтируется в режиме только для чтения, а раздел с настройками /etc монтируется в tmpfs и восстанавливает исходное состояние после перезапуска. Прямое изменение файлов в каталоге /etc, таких как /etc/resolv.conf и /etc/containerd/config.toml, не поддерживается - для постоянного сохранения настроек следует использовать API или выносить функциональность в отдельные контейнеры. Для криптографической верификации целостности корневого раздела задействован модуль dm-verity, а в случае выявления попытки модификации данных на уровне блочного устройства система перезагружается.

Большинство системных компонентов написаны на языке Rust, предоставляющем средства для безопасной работы с памятью, позволяющие избежать уязвимостей, вызванных обращением к области памяти после её освобождения, разыменованием нулевых указателей и выходом за границы буфера. При сборке по умолчанию применяются режимы компиляции "--enable-default-pie" и "--enable-default-ssp" для включения рандомизации адресного пространства исполняемых файлов (PIE) и защиты от переполнения стека через подстановку канареечных меток. Для пакетов, написанных на языке C/C++, дополнительно включаются флаги "-Wall", "-Werror=format-security", "-Wp,-D_FORTIFY_SOURCE=2", "-Wp,-D_GLIBCXX_ASSERTIONS" и "-fstack-clash-protection".

В новом выпуске:

  • Добавлена поддержка зеркал реестра образов контейнеров.
  • Добавлена возможность использования самоподписанных сертификатов.
  • Добавлен параметр для настройки имени хоста.
  • Обновлена версия предлагаемого по умолчанию административного контейнера.
  • Добавлены настройки topologyManagerPolicy и topologyManagerScope для kubelet.
  • Добавлена поддержка сжатия ядра при помощи алгоритма zstd.
  • Предоставлена возможность загрузки в VMware виртуальных машин в формате OVA (Open Virtualization Format).
  • Обновлён варианта дистрибутива aws-k8s-1.21 c поддержкой Kubernetes 1.21. Прекращена поддержка aws-k8s-1.16.
  • Обновлены версии пакетов и зависимости для языка Rust.


  1. Главная ссылка к новости (https://github.com/bottlerocke...)
  2. OpenNews: Amazon опубликовал Bottlerocket 1.0.0, Linux-дистрибутив на базе изолированных контейнеров
  3. OpenNews: Четвёртый тестовый выпуск ОС Subgraph
  4. OpenNews: Доступен монолитный дистрибутив Ubuntu Core 20
  5. OpenNews: Спецслужбы Франции опубликовали защищённый дистрибутив CLIP OS
  6. OpenNews: Релиз ОС Qubes 4.0, использующей виртуализацию для изоляции приложений
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/55606-bottlerocket
Ключевые слова: bottlerocket
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (58) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Аноним (1), 12:43, 08/08/2021 [ответить] [﹢﹢﹢] [ · · · ]  
  • +6 +/
    Amazon? ясно, прощайте
     
     
  • 2.2, Аноним (2), 12:49, 08/08/2021 [^] [^^] [^^^] [ответить]  
  • +9 +/
    Да! Лучше бы просто денег давали!=) А то иш чего удумали - "развивают и участвуют"...
     
     
  • 3.3, Аноним (3), 12:51, 08/08/2021 [^] [^^] [^^^] [ответить]  
  • –3 +/
    Пытаются навариться, а не развивают.
     
     
  • 4.7, Аноним (7), 13:22, 08/08/2021 [^] [^^] [^^^] [ответить]  
  • +/
    И сколько они наварили на этом релизе?
     
     
  • 5.11, Аноним (3), 13:56, 08/08/2021 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Спроси у Безоса
     
     
  • 6.57, Аноним (-), 07:16, 09/08/2021 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Да ну его нафиг. Чего ожидать от человека у которого даже ракеты летают с милями и футами? У элонмаска и то ума на километры хватило.
     
     
  • 7.87, Просто интересно (?), 16:48, 11/08/2021 [^] [^^] [^^^] [ответить]  
  • +/
        Чем ваш вариант бутылочно пузырьковый виртуализации лучше, чем Firecracker: https://firecracker-microvm.github.io/

        Чем ваш дистрибутив в целом лучше, чем узел OpenNebula:

    https://opennebula.io/opennebula-firecracker-building-the-future-of-on-premise

    ?!?!?

     
     
  • 8.88, Аноним (88), 01:14, 12/08/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Примерно ничем, это разные продукты причем от одного вендора Bottlerocket обе... текст свёрнут, показать
     
  • 4.22, Аноним (22), 15:10, 08/08/2021 [^] [^^] [^^^] [ответить]  
  • +3 +/
    А что плохого когда кто-то наваривается на СПО? Разве не для этого СПО существует? Или дело в том, что это корпорация, а не аноним?
     
     
  • 5.23, Аноним (3), 15:11, 08/08/2021 [^] [^^] [^^^] [ответить]  
  • +3 +/
    >Или дело в том, что это корпорация, а не аноним?

    Да

     
     
  • 6.48, Аноним (22), 00:15, 09/08/2021 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Так корпорация даёт работу людям, а аноним может только увеличивать энтропию в комментариях.
     
     
  • 7.51, ананим.orig (?), 03:43, 09/08/2021 [^] [^^] [^^^] [ответить]  
  • +/
    > Так корпорация даёт работу людям

    они же увеличивают углеродный след?
    вам надо поменять прошивку.

     
     
  • 8.58, Аноним (-), 07:17, 09/08/2021 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Корпорас с программатором уже на подходе Оставайтесь на месте ... текст свёрнут, показать
     
     
  • 9.77, ананим.orig (?), 15:15, 09/08/2021 [^] [^^] [^^^] [ответить]  
  • +/
    судя по тексту - 404 после обновления у тебя совсем не годится сколько ты им за... текст свёрнут, показать
     
  • 7.69, Брат Анон (ok), 09:08, 09/08/2021 [^] [^^] [^^^] [ответить]  
  • +4 +/
    Корпорация прежде всего наживается на трудящихся. И чихать она хотела на своих сотрудников.

    Это не корпорация даём сотрудникам работу. Это сотрудники обогащают корпорацию.

     
     
  • 8.89, Аноним (-), 08:06, 12/08/2021 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Всё правильно говоришь Вот только без коммунизма, ладно ... текст свёрнут, показать
     
  • 2.12, Прохожий (??), 14:05, 08/08/2021 [^] [^^] [^^^] [ответить]  
  • +4 +/
    Амазон ужасно расстроится, узнав, что Аноним с Опеннета не хочет пользоваться его продуктами. Вот как ты мог, а?
     
     
  • 3.39, Аноним (-), 22:43, 08/08/2021 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Чувак не один такой. Тут какой-то чудик резюме всем рассылает, не буду его пиарить, так он тоже повёрнутый против AWS. И это только недавний случай. AWS на самом деле для лохов, его таким и стараются продвинуть, чтобы было "в один клик".
     
     
  • 4.41, Прохожий (??), 22:49, 08/08/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Но это ведь прекрасно, что для "лохов". Тем дешевле с ним бизнесу работать, значит.
     
     
  • 5.55, WE (?), 05:32, 09/08/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Если после появления "hello world" вы не закурили, значит использование этого слишком просто и вы тратите свои навыки впустую.
     
  • 5.86, Аноним (88), 10:41, 11/08/2021 [^] [^^] [^^^] [ответить]  
  • +/
    >  Но это ведь прекрасно, что для "лохов". Тем дешевле с ним бизнесу работать, значит.

    У наз бизнес купил за миллион лицензию на облачный Битрикс, потому что им была нужна электронная записная книжка (а про имеющийся у нас Confluence продажники из 1С сказали, что он для этого не годится).

     

  • 1.4, Аноним (4), 12:55, 08/08/2021 [ответить] [﹢﹢﹢] [ · · · ]  
  • +5 +/
    > автоматически обновляемый

    Очень плохо.

     
     
  • 2.59, Аноним (-), 07:18, 09/08/2021 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Вы не доверяете клаудспайвари, амазону и прочим вендорлохерам? :)
     
     
  • 3.68, нах.. (?), 07:50, 09/08/2021 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Тихо ты, тсссс, конечно доверяем.
     

  • 1.5, макпыф (ok), 13:18, 08/08/2021 Скрыто ботом-модератором [﹢﹢﹢] [ · · · ]     [к модератору]
  • +1 +/
     

     ....ответы скрыты (10)

  • 1.6, Аноним (6), 13:20, 08/08/2021 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    > Большинство системных компонентов написаны на языке Rust, предоставляющем средства для безопасной работы с памятью, позволяющие избежать уязвимостей, вызванных обращением к области памяти после её освобождения, разыменованием нулевых указателей и выходом за границы буфера

    Этого достаточно, пускай амазон и пилит

     
     
  • 2.8, Аноним (7), 13:23, 08/08/2021 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Он и пилит.
     
  • 2.14, Прохожий (??), 14:09, 08/08/2021 [^] [^^] [^^^] [ответить]  
  • +8 +/
    Типа, был бы C/C++, ты бы подключился к разработке? Не смеши мои тапочки.
     
     
  • 3.84, Аноним (88), 10:35, 11/08/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Нет, конечно (к счастью для проектов на C и C++)
     

  • 1.19, richman1000000 (ok), 14:42, 08/08/2021 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    >> для постоянного сохранения настроек следует использовать API

    сменили шило на мыло...

     
     
  • 2.62, Аноним (-), 07:22, 09/08/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Ну, они наконец запилили свою винду, с регедитом и апи.
     
     
  • 3.83, Аноним (88), 10:34, 11/08/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Ребята из NixOS всё равно успели раньше.
     

  • 1.25, Аноним (25), 15:21, 08/08/2021 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    Оно случайно в десктоп не умеет?
     
     
  • 2.26, Аноним (7), 15:31, 08/08/2021 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Оно для амазоновских кластеров и виртуалок. Что-то мне подсказывает, что не умеет и не должно было уметь.
     
  • 2.42, Прохожий (??), 22:51, 08/08/2021 [^] [^^] [^^^] [ответить]  
  • +/
    А прочитать полностью статью, не? Вот же:

    "Ключевым отличием от похожих дистрибутивов, таких как Fedora CoreOS, CentOS/Red Hat Atomic Host является первичная ориентация на предоставление максимальной безопасности в контексте усиления защиты системы от возможных угроз, усложнения эксплуатации уязвимостей в компонентах ОС и повышения изоляции контейнеров."

    Ну откуда здесь десктопу взяться?

     
  • 2.66, Аноним (-), 07:30, 09/08/2021 [^] [^^] [^^^] [ответить]  
  • +/
    > Оно случайно в десктоп не умеет?

    Надеешься что корп сделает тебе збс, без strings attached, в вопросах безопасности? Ну-ну...

     

  • 1.37, Аноним (37), 21:11, 08/08/2021 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    А вообще интересно. Ну, такое, пусть не революционное, но вполне себе эволюцонное развитие. И, поскольку под эгидой AWS, доля будет потихоньку расти.
     
  • 1.38, Аноним (38), 21:58, 08/08/2021 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Если в Амазоне пользователи будут переходить на эту ось то Амазон не слабо будет экономить на редупликации (если она у них есть)
     
  • 1.43, Цезий Родонович (?), 23:05, 08/08/2021 [ответить] [﹢﹢﹢] [ · · · ]  
  • –3 +/
    Каку хрень только не выдумывают, что бы не пользоваться православным солярисом с его нормальными зонами :)
     
     
  • 2.65, Аноним (-), 07:28, 09/08/2021 [^] [^^] [^^^] [ответить]  
  • +3 +/
    Ну, блин, когда оно было актуально - проприетарии душились жабой. А потом оно уже и не надо никому стало.
     
     
  • 3.73, SunOS SmartOS (?), 12:50, 09/08/2021 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Еще как надо:

    Облачный датацентр на базе форка Солярки:

    https://www.linux.org.ru/news/opensource/16463747

     
     
  • 4.85, Аноним (88), 10:38, 11/08/2021 [^] [^^] [^^^] [ответить]  
  • +/
    То, что кто-то just4fan напилил, не значит, что кто-то этим пользуется.
     

  • 1.67, нах.. (?), 07:45, 09/08/2021 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    > Rust, предоставляющем средства для безопасной работы с памятью, позволяющие избежать уязвимостей, вызванных обращением к области памяти после её освобождения, разыменованием нулевых указателей и выходом за границы буфера

    Как вы достали уже с этой мантрой. Видать только это он и умеет, доставать всех.

     
  • 1.71, б.б. (?), 10:42, 09/08/2021 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    почему-то от подобных новостей всегда вспоминается следующее:

    А если Вы на него бочку катите, то это уже контейнерная перевозка получается. Этим трансагентства занимаются в сельской местности.

     
  • 1.78, Аноним (-), 18:48, 09/08/2021 [ответить] [﹢﹢﹢] [ · · · ]  
  • –4 +/
    Раст заменил питон и одним своим наличием создал ореол безопасности в дистрибутиве. Очень безопасный и все утечки памяти рандомизированы, доказано компилятором
     
     
  • 2.90, Alladin (?), 22:57, 13/08/2021 [^] [^^] [^^^] [ответить]  
  • +/
    А еще Rust это замена C/C++. Шик! Балдею от фитч языка.
     

  • 1.82, Аноним (82), 15:15, 10/08/2021 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    > Большинство системных компонентов написаны на языке Rust, ...
    > Для пакетов, написанных на языке C/C++, дополнительно включаются флаги -Wall -Werror=format-security ...

    Вот здесь надо растоманов похвалить! Молодцы растоманы, нужным делом занялись, за ленивымми сишниками начали фиксить дыры. Предупреждаю, при проталкивания патчей в апстрим вас и матом посылать будут. Даже гентушники забросили этот, неблагодарный, сизифов труд лет 10 назад.

     
     
  • 2.91, Alladin (?), 22:58, 13/08/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Аноним че курит? Rust это не си/си++ но дружат на одном системном уровне.
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2024 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру