Bottlerocket é un sistema operativo gratuíto e de código aberto baseado en Linux destinado a hospedar contedores.
O lanzamento da nova versión de Bottlerocket 1.15.0, unha versión na que se implementaron diversos cambios, melloras e, sobre todo, actualizacións dos diferentes paquetes do sistema, ademais de que a partir desta versión xa se ofrece soporte para o arranque seguro nas plataformas que utilizan o arranque UEFI, entre outras cousas.
Para aqueles que non saben sobre Bottlerocket, debes saber que isto é unha distribución que proporciona unha imaxe indivisible do sistema actualizado de forma atómica e automática que inclúe o núcleo de Linux e un ambiente de sistema mínimo que inclúe só os compoñentes necesarios para executar os contedores.
O ambiente usa xestor de sistema systemd, biblioteca Glibc, a ferramenta de compilación Buildroot, o cargador de arranque GRUB, o tempo de execución do contedor illado en contedores, a plataforma de orquestración de contedores Kubernetes, o autenticador aws-iam e o axente Amazon ECS.
A diferenza fundamental con distribucións similares como Fedora CoreOS, CentOS / Red Hat Atomic Host é o foco principal de proporcionar a máxima seguridade no contexto de reforzar a protección do sistema fronte a posibles ameazas, o que complica a explotación de vulnerabilidades nos compoñentes do sistema operativo e aumenta o illamento do contedor.
Principais novidades de Bottlerocket 1.15.0
Nesta nova versión de Bottlerocket 1.15.0 que se presenta, implementáronse un gran número de actualizacións, das cales as do kernel de Linux, que se actualizou á versión 6.1, systemd que se actualizou a versión 252, nvidia-container-toolkit ata 1.13.5, containerd á versión 1.6.23, glibc á versión 2.38, entre outros.
En canto aos cambios internos que ofrece esta versión de Bottlerocket 1.15.0, o soporte para o arranque seguro plataformas que usan U bootEFI, systemd-networkd e systemd-resolved para redes host e XFS como sistema de ficheiros para almacenamento local para novas instalacións. Paga a pena mencionar que estas funcións están habilitadas de forma predeterminada nas instalacións novas e que as instalacións existentes seguirán usando núcleos máis antigos, malos para a rede de host e EXT4 como sistema de ficheiros para o almacenamento local.
Ademais disto, propuxéronse novas opcións de distribución con soporte para Kubernetes 1.28, que usan UEFI Secure Boot, systemd-networkd e XFS, que agora é soporte obsoleto para versións baseadas en Kubernetes 1.27 anteriores.
Outros cambios que destacan nesta nova versión son ese engadiu o comando "informe de cliente" para xerar un informe CIS (Internet Security Center) que avalía a seguridade da configuración. Tamén se inclúe un axente para verificar o cumprimento do sistema cos requisitos do CIS.
Dos outros cambios que destacan desta nova versión:
- A configuración SeccopDefault engadiuse ás variantes baseadas en Kubernetes 1.25 e posteriores.
- Engadiuse aws-iam-authenticator ás variantes de k8s
- Actualizouse o contido dos contedores de control e administración.
- Engadíronse a configuración do límite de recursos á configuración predeterminada dos contedores OCI.
- Controlador Intel VMD activado
- Proponse unha nova variante de distribución "aws-ecs-2" para Amazon Elastic Container Service (Amazon ECS), que usa UEFI Secure Boot, systemd-networkd e XFS.
- Todas as distribucións de Amazon ECS agora inclúen soporte para AppMesh.
- As variantes de distribución "metal-*" (Bare Metal, para executarse en hardware convencional) inclúen o controlador Intel VMD e engaden os paquetes linux-firmware e aws-iam-authenticator.
- Actualización de Bottlerocket SDK v0.34.1
- Dous litros úsase para permitir traballar en construcións fóra da árbore. A maioría das ferramentas pasaron a Twoliter
- Limite só a concorrencia ao crear RPM
Por último, pero non menos importante, tamén se menciona que se eliminou a funcionalidade para aplicar un parche para log4j (CVE-2021-44228) na que a configuración correspondente, settings.oci-hooks.log4j-hotpatch-enabled aínda está dispoñible para as versións anteriores. compatibilidade. Non obstante, non ten ningún efecto máis aló de imprimir un aviso de desuso nos rexistros do sistema.
finalmente se es interesado en saber máis sobre iso, pode consultar os detalles no seguinte ligazón.