容器优化 OS - 使用 Bottlerocket 强化容器主机的安全与运维
详解使用 AWS Bottlerocket 优化容器主机。介绍最小化 OS 设计、自动更新、不可变基础设施以及与 ECS/EKS 的集成。
容器主机 OS 的挑战
使用 EC2 实例作为 ECS 或 EKS 的工作节点时，主机 OS 的选择对安全和运维有重大影响。Amazon Linux 2 或 Ubuntu 等通用 OS 包含大量容器运行不需要的包（包管理器、Shell、各种工具），这些扩大了攻击面（Attack Surface）。OS 补丁的应用需要重启，可能影响运行中的容器。Bottlerocket 是 AWS 开发的容器专用 Linux OS，通过最小化设计解决这些问题。
安全设计与不可变基础设施
Bottlerocket 的安全设计是多层次的。根文件系统以只读方式挂载，通过 dm-verity 验证块级完整性。检测到篡改时系统拒绝启动。SELinux 默认启用，将容器进程的权限限制到最小。由于不存在包管理器，运行时无法安装软件，从根本上阻止了攻击者在入侵后安装恶意工具。更新采用原子方式，整个 OS 镜像作为一个单元替换，失败时自动回滚到前一版本。
与 ECS/EKS 的集成与运维
Bottlerocket 提供支持 ECS 和 EKS 的 AMI。在 EKS 中，只需在托管节点组的 AMI 类型中选择 Bottlerocket 即可使用。Karpenter（节点自动扩缩器）也可指定 Bottlerocket AMI。在 ECS 中，使用 ECS 优化的 Bottlerocket AMI 创建容器实例。通过 SSM 进行管理操作，API 服务器提供配置变更接口。Bottlerocket Update Operator 在 EKS 中自动管理节点的滚动更新。 关于容器安全的详细信息，可参考相关书籍 (Amazon)。
Bottlerocket 的费用
Bottlerocket 免费使用。选择 Bottlerocket AMI 作为 EC2 实例的 OS 时，仅收取与 Amazon Linux 2 相同的 EC2 实例费用。不产生 OS 许可证费用。引入 Bottlerocket 不会直接降低成本，但通过安全补丁自动应用减少运维工时、缩小攻击面降低安全事件风险等间接效果显著。
总结 - Bottlerocket 的活用指南
Bottlerocket 是为容器工作负载优化的最小化 Linux OS。不可变文件系统、SELinux、dm-verity、原子更新带来的高安全性，以及与 ECS/EKS 的原生集成是其主要优势。如果正在使用 EC2 作为 ECS 或 EKS 的工作节点，从 Amazon Linux 2 迁移到 Bottlerocket 可同时提升安全性和运维效率。