Mit Bottlerocket veröffentlicht Amazon eine eigene Linux-Distribution für den Einsatz mit Containern als Open Source. Die setzt unter anderem auf neue Kernel-Features.
Zwar gibt es bereits eine Reihe schlanker Linux-Distributionen, die als Container-Hosts laufen können. Dennoch will Amazon nun mit Bottlerocket eine weitere Linux-Distribution an den Start bringen, die auf Container-Szenarien fokussiert und die Sicherheit sowie den Betrieb verbessern soll. In Sachen Sicherheit setzt Bottlerocket dafür auf ein Security-gehärtetes System. Operationale vortiele soll laut Amazon ein transaktionaler Update-Mechanismus bieten, der den Einsatz von Containerverwaltungen erlaubt, um OS-Updates einzupflegen. Amazon entwickelt Bottlerocket dabei als Open-Source-Software auf Github und bietet auch einen öffentlich einsehbaren Entwicklungskalender an (Roadmap).
Neue Kernel-Features helfen
Doch was steckt nun in dem Feuerwerkskörper? Nur die nötigste Software, was die Angriffsfläche verringere. Security-Enhanced Linux (SELinux) sichert die Isolation zwischen Containern und Host-OS ab und ergänzt so die Standard-Kernel-Features, die in diese Richtung gehen. Weiterhin verwendet Bottlerocket “dm-verity”, ein neues Feature im Linux-Kernel, das Angreifer abhalten soll, das Betriebssystem anzugreifen, um etwa Systemsoftware zu überschreiben. eBPF reduziert für viele Low-Level-Operationen den Bedarf an eigenen Kernel-Modulen. Zudem seien größere Teile von Bottlerocket in Rust geschrieben, dessen Compiler viele potenzielle Fehlerquellen bereits beim Übersetzen bemerkt.
Auch Netzwerk-Verbindungen zu Administrationszwecken will Bottlerocket für Produktionssysteme einschränken. Über das Bottlerock-API lässt sich für einfache Debugging-Aktionen ein Admin-Container starten, weitergehendes Troubleshooting und Debugging findet dann über SSH statt. Basis für den Admin-Container ist ein Amazon-Linux-2-Container-Image, das die entsprechenden Werkzeuge an Bord hat und mit höheren Rechten läuft. Nur in Ausnahmefällen muss dann eine SSH-Verbindung her. Weitere Details zu Bottlerocket liefert die Ankündigung.
