Fedora s'impose en amont d'Amazon Linux

Fedora est le socle de la troisième génération d’Amazon Linux, qui généralise, entre autres, le mécanisme des mises à jour déterministes.

Fedora 34, 35 ou 36 ? Il y a un peu des trois dans la nouvelle génération d’Amazon Linux (AL2023).

Le recentrage sur la distribution que sponsorise Red Hat est en tout cas manifeste. AWS en a, par exemple, adopté le gestionnaire de packages. En l’occurrence, dnf.

La génération précédente (Amazon Linux 2) utilise yum. Actuellement en période de support étendu, elle arrivera en fin de vie en juin 2025.

Avec AL2023, le cycle de vie sera le suivant :

– Une majeure tous les deux ans
– Une mineure tous les trois mois
– Pour chaque majeure, cinq ans de support (deux ans de mises à jour de fonctionnalités ; trois ans de maintenance)

D’une génération à l’autre, le fonctionnement par défaut de SELinux évolue. Désactivé sur Amazon Linux 2, il est activé sur AL2023, en mode permissif (= journalisation).
Sur le volet sécurité, on aura aussi relevé le passage à OpenSSL3. Et à OpenSSH 8.7, qui, par défaut, désactive l’algorithme ssh-rsa.

Les mises à jour déterministes par défaut sur Amazon Linux

Les premières versions d’Amazon Linux 2 avaient une compatibilité 32 bits. Ce n’est pas le cas pour AL2023, qui ne prend par ailleurs pas en charge les instances EC2 de la famille A1. Quant à la gestion des interfaces réseau, elle n’est plus dévolue à dhclient, mais à systemd-networkd.

Également nouveau est l’usage du système des mises à jour « déterministes » par défaut. Chaque AMI / image de conteneur est rattachée à une version spécifique du référentiel de packages. Une commande dnf update ne met donc pas à jour les paquets installés, dans une logique de cohérence de l’infrastructure.

Pour contrôler les mises à jour, la commande dnf check-release-update permet de vérifier les versions du référentiel disponibles. On peut faire pointer le gestionnaire vers un dépôt spécifique ou vers la dernière mouture (paramètre « latest »).

Les AMI permettant d’exploiter les instances GPU sans outillage additionnel manquent encore à l’appel.