Опубликован выпуск Linux-дистрибутива Bottlerocket 1.8.0, развиваемого при участии компании Amazon для эффективного и безопасного запуска изолированных контейнеров. Инструментарий и управляющие компоненты дистрибутива написаны на языке Rust и распространяются под лицензиями MIT и Apache 2.0. Поддерживается запуск Bottlerocket в кластерах Amazon ECS, VMware и AWS EKS Kubernetes, а также создание произвольных сборок и редакций, допускающих применение различных инструментов оркестровки и runtime для контейнеров...Подробнее: https://www.opennet.dev/opennews/art.shtml?num=57336
единственно безопасное во всем этом rust с супербезопасным crate?
Нет, просто остальных слов вы не знаете.
Это нормально, должен кто-то и сортиры чистить.
Га́дите мимо в сортирах, товарищ, как творческая или технологически приближенная интеллигенция? )
Вот вот. А то падают под прогнившие полы граждане и захлебываются насмерть говном. Хотя мы же (оказывается) живем при Петре1, при Петре1 это была норма.
Нет, при Петре I нормой было косить под европейцев.
Но 40-е годы XX века показали всю абсурдность и опасность такого подхода.
> нет Python или PerlГде-то плачет один выпускник курсов "стань программистом за месяц". Скорее всего, даже не один.
хорошо что экспертам ничего не нужно изучать, ведь они и так всё знают 😉
docker run python там не учат?
> дистрибутива на базе изолированных контейнеровИзолированный пользователь запустил изолированный дистрибутив на изолированных контейнерах и видит картину - изолированные процессы в изолированных контейнерах выполняют изолированные операции над изолированными данными.
Изолировать бы разработчиков этого изолированного дистрибутива на базе изолированных контейнерах.
Напугали ёжика голой жопой )
учитывая этимологию псевдонима выше и контекст - на самом деле годный, хороший комментарий, а главное - на бессильную злобу завтрашнего дня (который обязательно настанет, но будет поздно пить Боржоми)
> Изолированный пользователь запустил изолированный дистрибутив на изолированных контейнерах и видит картину - изолированные процессы в изолированных контейнерах выполняют изолированные операции над изолированными данными.Примерно так разработчики для реального режима MS DOS смотрели на дикарей-юниксоидов, у которых при попытке залезть в память другого процесса прилетает SIGSEGV.
Прикольная штука, юзаю с EKS. Но вот если нужно там tcpdump/ping/netcat/traceroute запустить - начинается цирк с конями, не удалось сходу нормально раскурить как в этом окружении жить вообще.
Для ping/netcat/traceroute логично сделать tool-образ и подселять в поды его через механизм ephemeral containers (не знаю, разрешен ли он в EKS).
tcpdump, полагаю, никак. Надо делать нормальные трейсы.
контейнер != безопасность
контейнер ∈ безопасностьБезопасность — это всегда комплекс мер и подходов, а не одна волшебная таблетка, которая делает зашибись.
В новости описана весьма многообещающая в плане защищённости система. По крайней мере, абсолютное большинство традиционных векторов взлома LAMP-серверовтам не отработают. Но без аудита и пентестинга делать безапелляционные утверждения я бы не стал.P.S. Конкретно в случае с контейнером — он действительно может значительно увеличить уровень безопасности, но только при соблюдении множества условий: процессы в контейнере запущены не от рута, не имеют избыточных capabilities (CAP_SYS_ADMIN, CAP_NET_ADMIN), на хосте отключены средства jailbreaking-а (unprivileged ebpf, user namespaces, non-paranoid perf).
А в реальной жизни, зачем он может понадобиться?
Зависит от того, какая у вас реальная жизнь.
Если поднимать падающий апач на шаред-хостинге - то незачем вообще.
> первичная ориентация на предоставление максимальной безопасности в контексте усиления защиты системы от возможных угроз, усложнения эксплуатации уязвимостей ...Вот это казёнщина! Когда в технических текстах я вижу подобное построение предложений — у меня рука тянется к нагану.
ну хоть не к солонке.
Так вот почему вокруг и в ТВ все так экают и Хавал Хавээлом называют. Выша работа?
Как дистрибутив с systemd может быть безопасным?
виртуально.
А чё обои не показали?
Так это же не кульхацкерский crux или void какой-то, а дистрибутив для работы.