Exemplo de descrição de imagem do Amazon Linux 2023 - Amazon Elastic Compute Cloud

Exemplo de descrição de imagem do Amazon Linux 2023

O exemplo de descrição de imagem do Amazon Linux 2023 tem as seguintes características:

  1. Inicialização da Unified Kernel Image (UKI): inicialize usando um único binário assinado que combine o kernel initrd e os parâmetros de inicialização em uma única imagem imutável.

  2. Sistema de arquivos-raiz somente leitura: use o Enhanced Read-Only File System (erofs) com proteção dm-verity para garantir que o sistema de arquivos-raiz não possa ser modificado e mantenha a verificação da integridade criptográfica.

  3. Sistema de arquivos de sobreposição efêmera: crie um sistema de arquivos de sobreposição temporário que permita gravações temporárias em diretórios como /etc, /run e /var. Como esse sistema de arquivos de sobreposição existe somente na memória, todas as alterações são perdidas automaticamente quando a instância é reinicializada, garantindo que o sistema retorne ao estado confiável original.

  4. Métodos de acesso remoto desabilitados: remova os seguintes mecanismos de acesso remoto para evitar acesso remoto:

    Método de acesso Descrição Implementação da descrição da imagem
    SSH Exclui o servidor OpenSSH. Torna a instância inerentemente incapaz de lidar com tráfego SSH. Ignorar o pacote openssh-server *
    Dados do usuário Remove o Cloud-init. Elimina a capacidade dos operadores de fornecer dados de usuários às instâncias e executar scripts de inicialização. Ignorar os pacotes cloud-init e cloud-init-cfg-ec2 *
    Chrony Desabilita a porta de comando chrony. Evita que os operadores executem comandos chrony em instâncias em execução. Ignorar o pacote amazon-chrony-config *
    MOTD Remove o pacote MOTD. Elimina a capacidade dos operadores de alterar mensagens ou funcionalidades nas instâncias em execução. Ignorar o pacote update-motd *
    AWS SSM Remove o agente do AWS SSM. Evita o acesso remoto às instâncias em execução usando o AWS SSM. Ignorar o pacote amazon-ssm-agent *
    EC2 Instance Connect Remove o pacote do EC2 Instance Connect. Desabilita o acesso SSH usando essa ferramenta. Ignorar o pacote ec2-instance-connect *
    Console de série Desabilita o console de série. Garante que o acesso ao console não esteja disponível para instâncias em execução e elimina a capacidade dos operadores de fazer login no console de série. Desabilitado pelo parâmetro da linha de comando do kernel

    * Para obter mais informações, consulte Elementos da descrição de imagem.