Perguntas frequentes sobre o Bottlerocket

A AWS fornece uma imagem de máquina da Amazon (AMI) para o Bottlerocket que você pode usar para execução em tipos de instância do EC2 compatíveis a partir do console, da CLI e do SDK da AWS. A AWS fornecerá compilações do Bottlerocket pré-configuradas para uso com EKS, ECS, VMware e EKS Anywhere em bare metal. Você pode usar o orquestrador para atualizar e gerenciar o SO com o mínimo de interrupções, sem precisar fazer login em cada instância do SO.

Você pode iniciar aplicativos em contêiner em uma instância do Bottlerocket por meio de seu orquestrador. Você também pode incluir scripts de software e inicialização no Bottlerocket durante a personalização da imagem. Consulte a documentação do Bottlerocket para obter detalhes.

É possível implantar e fazer a manutenção do Bottlerocket utilizando as seguintes etapas:

• Etapa 1: você pode implantar o Bottlerocket da mesma forma que qualquer outro SO em uma máquina virtual. Na AWS, você pode implantar o Bottlerocket em instâncias do EC2 a partir do Console de Gerenciamento da AWS, via API ou via AWS CLI. Você precisa fornecer detalhes de configuração por meio de dados do usuário para cada instância do Bottlerocket para se inscrever em um cluster do Amazon EKS.
• Etapa 2: para operar o Bottlerocket com o seu orquestrador, você precisará implantar um componente de integração no seu cluster. Esse componente de integração permite que o orquestrador inicie reinicializações, reverta atualizações e substitua contêineres com o mínimo de interrupção para atualizações contínuas.

As atualizações do Bottlerocket são automaticamente transferidas por download de repositórios pré-configurados da AWS quando são disponibilizadas. É necessária uma reinicialização do Bottlerocket para aplicar essas atualizações, e o processo pode ser iniciado manualmente ou gerenciado por um orquestrador, como o Kubernetes. Você precisa selecionar o mecanismo apropriado para lidar com reinicializações de acordo com as suas necessidades operacionais e com a tolerância das suas aplicações a reinicializações. Se você tiver aplicações sem estado e resilientes a reinicializações, estas poderão ser executadas imediatamente após o download das atualizações. Se você estiver executando workloads tradicionais com estado (por exemplo, bancos de dados, aplicações de linha de negócios de longa execução, etc.) em contêineres que não são resilientes a reinicializações, será necessário garantir que o estado seja preservado antes dessas reinicializações.

As reinicializações do Bottlerocket podem ser gerenciadas por orquestradores. Isso é feito por meio da drenagem e da reinicialização de contêineres entre hosts para permitir atualizações contínuas em um cluster a fim de reduzir a interrupção. As atualizações do Bottlerocket também podem ser revertidas com segurança em caso de falhas por meio de ações manuais ou orquestradores compatíveis. Consulte a documentação do Bottlerocket para conhecer as etapas de implantação e uso do “operador de atualizações do Bottlerocket” em clusters do Amazon EKS e em clusters do Amazon ECS.

As compilações fornecidas pela AWS de compilações do Bottlerocket seguem um esquema de versionamento semântico “principal.secundário.patch”. Versões secundárias do Bottlerocket serão lançadas várias vezes no ano, com alterações como suporte para novas plataformas do EC2, suporte para novos agentes orquestradores e atualizações em componentes de código aberto. O esquema de versão indicará se as atualizações contêm alterações importantes.

Uma variante é uma compilação do Bottlerocket compatível com diferentes recursos ou características de integração. A AWS fornece variantes do Bottlerocket compatíveis com nós de processamento do Kubernetes no EC2, no VMware e em bare metal. A AWS também fornece variantes do Bottlerocket para ECS no EC2. Há uma lista de todas as variantes fornecidas pela AWS.

Sim. O Bottlerocket tem variantes compatíveis com tipos de instância do Amazon EC2 baseados em GPU NVIDIA no Amazon Elastic Container Services (Amazon ECS) e em nós de processamento do Kubernetes no EC2. Veja as publicações do blog sobre como usar essas variantes no ECS e no EKS.

Os lançamentos de recursos do Bottlerocket (versões secundárias, como 1.10.0 e 1.11.0) geralmente acontecem com uma frequência de 6 a 8 semanas. Correções de bugs e CVE (versões de patch, como 1.10.1 e 1.11.1) acontecem conforme necessário, e a frequência de lançamento depende da gravidade do problema. Consulte o CHANGELOG que mostra todos os lançamentos do Bottlerocket com seus cronogramas.

As compilações do Bottlerocket fornecidas pela AWS receberão atualizações de segurança e correções de bugs e serão cobertas em planos do AWS Support. O período de suporte de uma determinada compilação dependerá da versão do orquestrador de contêineres que está sendo usado. As compilações do Bottlerocket se tornarão obsoletas quando a respectiva versão do orquestrador ficar obsoleta. Por exemplo, não oferecemos mais suporte para aws-k8s-1.19, que é a compilação do Bottlerocket para o Kubernetes 1.19. Isso está alinhado à interrupção do suporte para o Kubernetes 1.19. Recomendamos que os clientes substituam os nós aws-k8s-1.19 por uma compilação mais recente com suporte pelos seus clusters. Além disso, o suporte da comunidade para o Bottlerocket está disponível no GitHub, onde você pode publicar perguntas, solicitar recursos e informar bugs. Detalhes sobre lançamentos e correções em CVEs serão publicados no changelog do Bottlerocket.

As AMIs atuais otimizadas para o EKS e baseadas no Amazon Linux terão suporte e continuarão recebendo atualizações de segurança. Consulte Amazon Linux 2 AMI otimizada para EKS e AMI otimizada para ECSpara obter detalhes sobre a vida útil do suporte.

As compilações do Bottlerocket da AWS têm suporte em famílias de instâncias Bare Metal do EC2 e HVM, com exceção dos tipos de instância F, G4ad e INF.

Sim. Para obter mais detalhes, consulte esta publicação do blog.

A AWS fornece atualizações pré-testadas para o Bottlerocket, que são aplicadas em uma única etapa. Essas atualizações também podem ser revertidas em uma única etapa para um estado funcional conhecido. Como resultado, atualizações “mal feitas” que podem deixar o sistema inutilizável devido a estados inconsistentes que exigem reparo manual não ocorrem com o Bottlerocket. Com atualizações atômicas em uma única etapa, a complexidade é bem menor, reduzindo assim possíveis falhas de atualização.

As atualizações em compilações do Bottlerocket fornecidas pela AWS são baixadas automaticamente de repositórios pré-configurados da AWS assim que ficam disponíveis. É necessária uma reinicialização do Bottlerocket para aplicar essas atualizações, e o processo pode ser iniciado manualmente ou gerenciado por um orquestrador, como o Kubernetes. Você precisa selecionar o mecanismo apropriado para lidar com reinicializações de acordo com as suas necessidades operacionais e com a tolerância das suas aplicações a reinicializações. Se você tiver aplicações sem estado e resilientes a reinicializações, estas poderão ser executadas imediatamente após o download das atualizações. Se você estiver executando workloads tradicionais com estado (por exemplo, bancos de dados ou aplicações de linha de negócios de longa execução) em contêineres que não são resilientes a reinicializações, será necessário garantir que o estado seja preservado antes dessas reinicializações.

As reinicializações do Bottlerocket podem ser gerenciadas por orquestradores, como o Kubernetes, que drenam e reiniciam contêineres entre hosts para permitir atualizações contínuas em um cluster a fim de reduzir a interrupção. Por padrão, o Bottlerocket será atualizado automaticamente para a versão segura mais recente após a inicialização. As atualizações do Bottlerocket também podem ser revertidas com segurança em caso de falhas por meio de ações manuais ou orquestradores compatíveis.

As integrações com orquestradores, como o Kubernetes, ajudam a fazer com que as atualizações do Bottlerocket causem o mínimo de interrupções. Durante o processo de atualização, o orquestrador drena contêineres em hosts que estão sendo atualizados e os coloca em outros hosts vagos no cluster. O orquestrador também reverterá os hosts para a versão anterior do Bottlerocket se as atualizações falharem.

O Bottlerocket pode executar todas as imagens de contêiner que atendem à especificação de formato de imagem OCI e imagens do Docker.

Sim, você pode mover seus contêineres entre o Amazon Linux 2 e o Bottlerocket sem modificações.

Se os seus fluxos de trabalho operacionais para executar contêineres envolvem a instalação de softwares no SO host com yum, conectar-se diretamente via ssh a instâncias, personalizar cada instância individualmente ou executar softwares de ISVs terceiros que não estão em contêineres (por exemplo, agentes para registro em log e monitoramento), o Amazon Linux 2 pode ser mais apropriado. O Bottlerocket é otimizado para executar e gerenciar grandes implantações em contêiner e não permite facilmente muitas dessas atividades.

Você pode executar um “contêiner de administração” usando a API do Bottlerocket (chamada por dados de usuários ou pelo AWS Systems Manager) e, em seguida, fazer login com SSH para depuração avançada e solução de problemas com privilégios elevados. A AWS fornece o contêiner de administração, que permite instalar e usar ferramentas de depuração como sosreport, traceroute, strace, tcpdump. O objetivo é que o login em uma instância individual do Bottlerocket seja uma operação pouco frequente para depuração avançada e solução de problemas.

Um contêiner de administração é uma imagem de contêiner do Amazon Linux que contém utilitários para solução de problemas e depuração do Bottlerocket e que é executada com privilégios elevados. Consulte os detalhes sobre como usar o contêiner de administração.

O Bottlerocket possibilita atualizações de segurança automáticas e reduz a exposição a ataques de segurança, incluindo apenas os softwares essenciais para hospedar contêineres. O Bottlerocket usa grupos de controle de contêineres (cgroups) e namespaces de kernel para isolamento entre contêineres. Ele também vem com o Security-Enhanced Linux (SELinux) no modo de imposição e seccomp. O eBPF no kernel reduz a necessidade de módulos de kernel para muitas operações de sistema de baixo nível, fornecendo uma estrutura de rastreamento com baixa sobrecarga para rastreamento de E/S, operações de sistema de arquivos, uso de CPU, detecção de intrusão e solução de problemas. O Bottlerocket usa o device-mapper-verity (dm-verity), um recurso de kernel do Linux que fornece verificação de integridade para ajudar a evitar rootkits que podem conter privilégios de root.

Existem várias opções para coletar logs dos nós do Bottlerocket. Por exemplo, você pode usar Insights de contêiner do CloudWatch ou Fluent Bit com OpenSearch.

Sim, o Bottlerocket tem uma CIS Benchmark. A CIS Benchmark é um catálogo de configurações com foco em segurança que ajudam os clientes do Bottlerocket a configurar ou documentar qualquer configuração não compatível de maneira simples e eficiente. A CIS Benchmark para Bottlerocket inclui os perfis de configuração de Nível 1 e Nível 2 e pode ser acessada a partir do site da CIS.

Não, o Bottlerocket ainda não possui certificação FIPS. A certificação FIPS para Bottlerocket está em nosso roteiro, mas, neste momento, não temos uma estimativa de quando estará disponível.

Sim, você pode obter conformidade com PCI usando o Bottlerocket. O conjunto de recursos otimizado e a superfície de ataque reduzida significam que as instâncias do Bottlerocket exigem menos configuração para atender aos requisitos do PCI DSS. A CIS Benchmark para Bottlerocket é um excelente recurso para orientação de proteção e oferece suporte aos requisitos do cliente para padrões de configuração segura sob o requisito 2.2 do PCI DSS. Os clientes também podem aproveitar o Fluent Bit para atender aos requisitos do cliente para registro de auditoria no nível do sistema operacional sob o requisito 10.2 do PCI DSS. A AWS publica novas instâncias (corrigidas) do Bottlerocket periodicamente para ajudar os clientes a cumprir os requisitos 6.2 (para v3.2.1) e 6.3.3 (para v4.0) do PCI DSS.

Sim, o Bottlerocket é um recurso qualificado pela HIPAA e autorizado para uso com workloads regulamentadas para o Amazon EC2 e o Amazon EKS. Para obter recomendações de configuração relacionadas ao Amazon EKS, consulte este whitepaper para ver informações adicionais.

Consulte o guia sobre fortalecimento e validação do Bottlerocket quando ele for usado com o Amazon EKS.

Sim. O Amazon Inspector é um serviço de gerenciamento de vulnerabilidades que verifica continuamente workloads do EC2 e de contêineres em busca de vulnerabilidades de software e exposição não intencional à rede. O Amazon Inspector usa o agente do AWS System Manager (SSM) para buscar vulnerabilidades. Em hosts do Bottlerocket, o agente do SSM é executado dentro do contêiner do host de controle. Portanto, você precisa verificar se ele está ativado em seus hosts.

O código do Bottlerocket está licenciado sob a Apache 2.0 OU MIT. A Amazon escreveu seu Bottlerocket no Rust, então escolhemos uma licença que se adapta facilmente a essa comunidade. O código de terceiros subjacente, como o kernel do Linux, permanece sujeito à sua licença original.

O Bottlerocket foi lançado como um projeto de código aberto hospedado no GitHub. Documentos de design, código, ferramentas de compilação, testes e documentação serão hospedados no GitHub. Usaremos os sistemas de rastreamento de bugs e recursos do GitHub para gerenciamento de projetos. Você pode visualizar e contribuir com o código-fonte do Bottlerocket usando fluxos de trabalho padrão do GitHub.

Você pode bifurcar o repositório do GitHub, fazer suas alterações e seguir nosso guia de compilação.

Sim. Se você compilar o Bottlerocket a partir de uma origem não modificada e redistribuir os resultados, poderá usar o nome “Bottlerocket” somente se estiver claro no nome da sua distribuição e no conteúdo associado que essa distribuição representa sua compilação do Bottlerocket da Amazon, e não a compilação oficial. Além disso, será necessário identificar o commit do qual ela foi compilada, incluindo a data de commit.

Você deve modificar o arquivo os-release para usar o Bottlerocket de acordo com esta Política ou para remover as marcas comerciais do Bottlerocket. Para fazer isso, modifique packages/release/release.spec e tools/rpm2img. Nomes da raiz do sistema (/x86_64-bottlerocket-linux-gnu/sys-root), rótulos de partição, caminhos de diretório e descrições de arquivos de serviços não precisam ser alterados para manter a compatibilidade com essa política.

Se você estiver ciente do uso confuso ou enganoso ou de outro uso indevido das Marcas Comerciais do Bottlerocket, entre em contato conosco conforme descrito acima em [email protected] para que possamos investigar a questão.