Preguntas frecuentes sobre Amazon Linux 2023

Las versiones principales (cada dos años) incluirán nuevas características y mejoras de seguridad y rendimiento para toda la pila, incluidos el kernel, la cadena de herramientas, glibc, openssl y todas las demás bibliotecas y utilidades del sistema. Las versiones principales de AL2023 se basarán parcialmente en la versión actual de la distribución ascendente de Fedora Linux, aunque Amazon puede optar por agregar o sustituir paquetes específicos de otras distribuciones ascendentes distintas de Fedora (por ejemplo, el kernel de Linux se obtiene de las opciones de soporte a largo plazo de kernel.org y se mantiene específicamente para los productos Linux de Amazon). Puede esperar actualizaciones importantes de los paquetes del repositorio que, en ocasiones, no son compatibles con las versiones anteriores. Proporcionaremos una lista completa de los cambios entre las versiones principales y podrá realizar la actualización in situ a nivel de paquete.

Las versiones secundarias trimestrales (1.1, 1.2) incluirán actualizaciones de seguridad, correcciones de errores y nuevas características y paquetes. Entre los ejemplos de versiones secundarias se encuentran los tiempos de ejecución de lenguajes más recientes, como PHP, y otros paquetes de software populares, como Ansible y Docker. Las versiones secundarias no introducen cambios que afecten a la compatibilidad de las aplicaciones. Por ejemplo, las versiones predeterminadas de los tiempos de ejecución de los lenguajes se mantendrán estables mientras que las versiones más nuevas de los tiempos de ejecución de los lenguajes se proporcionan en el repositorio como nuevos paquetes.

Las actualizaciones se proporcionan a través de una combinación de nuevas versiones de AMI (imágenes de máquina de Amazon) y los correspondientes repositorios nuevos. De forma predeterminada, una nueva AMI y el repositorio al que apunta están acoplados, pero es posible que las instancias de Amazon EC2 en ejecución apunten a versiones de repositorio más nuevas a lo largo del tiempo para que las actualizaciones se apliquen en las instancias en ejecución. También se pueden realizar actualizaciones mediante el lanzamiento de nuevas instancias de las AMI más recientes.

AL2023 se fija en una versión específica del repositorio. La AMI AL2023 que aparece en el asistente de lanzamiento de EC2 será siempre la más reciente y tendrá los paquetes y actualizaciones más recientes, incluidas las actualizaciones de seguridad críticas e importantes. Si se lanza una instancia de EC2 mediante la AMI de AL2023 a través del asistente de lanzamiento, siempre dispondrá de las actualizaciones más recientes (al igual que la experiencia actual con AL2). Sin embargo, si se lanza una instancia a partir de una AMI más antigua, las actualizaciones no se aplicarán automáticamente y cualquier paquete adicional que se instale como parte del aprovisionamiento se asignará a la versión del repositorio desde el que se creó la AMI más antigua. Esto permite garantizar que haya coherencia entre las versiones de los paquetes y las actualizaciones en todo el entorno, especialmente si se lanzan varias instancias a partir de la misma AMI. Puede aplicar las actualizaciones en función de la programación que mejor se adapte a sus necesidades.

Cuando se publica una nueva versión de los repositorios de AL2023, todas las versiones anteriores se mantienen disponibles. De forma predeterminada, el complemento para administrar las versiones del repositorio se fijará en la misma versión que se utilizó para crear la AMI. Si necesita controlar las actualizaciones de los paquetes, puede descubrir las versiones del repositorio disponibles para actualizar ejecutando “dnf check-release-update”, y seleccionando una versión mediante la ejecución del comando indicado, “dnf —releasever=version update”. En ese punto, “dnf install” o “dnf upgrade“ solo elegirá los paquetes de la versión del repositorio seleccionada. Si no es preciso controlar las actualizaciones de los paquetes, puede seleccionar la versión “más reciente”, que siempre apuntará a la versión más reciente de los repositorios de AL2023. Esto restaura el comportamiento heredado en cuanto a las actualizaciones de paquetes que usted y los flujos de trabajo de revisiones existentes podrían esperar.

Sí. SELinux es un módulo de seguridad que proporciona políticas de control de acceso. Se utiliza ampliamente en el sector para bloquear servidores Linux y protegerlos contra actividades maliciosas. Las principales aplicaciones dentro de AL2023 contienen políticas de SELinux preconfiguradas para ayudarlo a satisfacer sus necesidades de cumplimiento.

AL2023 tendrá SELinux en el modo permisivo de forma predeterminada. Puede cambiar la configuración de SELinux al modo forzado a través de la línea de comandos al ejecutar “setenforce” o al ejecutar este comando al iniciar desde cloud-init userdata. Al reiniciar la instancia, esta recordará y utilizará la configuración de SELinux que se especificó la primera vez, a menos que la cambie. Consulte la documentación de AL2023 para obtener más detalles.

Consulte las notas de lanzamiento de la versión de Amazon Linux 2023 para obtener todos los detalles. Los ejemplos de cambios que se producen entre la versión candidata y la versión disponible con carácter general incluyen el agente de hibernación y las AMI que se registran para iniciarse solo con IMDSv2 (es decir, deshabilitar IMDSv1) de forma predeterminada.

Amazon Linux, al igual que la mayoría de las distribuciones de Linux, envía de forma rutinaria las correcciones de seguridad a las versiones de paquetes estables que se ofrecen en sus repositorios. Cuando estos paquetes se actualicen con un puerto de respaldo, el boletín de seguridad de Amazon Linux correspondiente al problema concreto mostrará las versiones específicas del paquete en las que se solucionó el problema para Amazon Linux. Los escáneres de seguridad que se basan en el control de versiones de los autores de un proyecto a veces no detectan que una corrección de CVE determinada se ha aplicado a una versión anterior. Los clientes pueden consultar el Centro de seguridad de Amazon Linux (ALAS) para ver las actualizaciones sobre problemas y las correcciones de seguridad.

La publicación 140-3 del Estándar de procesamiento de la información federal (FIPS) contiene normas y pautas para la protección y el cifrado de datos para los sistemas de computación federales. Fue desarrollado por el Instituto Nacional de Normalización y Tecnología (NIST), el Centro Canadiense de Ciberseguridad (CCCS) y grupos de trabajo del sector para validar la eficacia de los módulos criptográficos. FIPS 140-3 se alinea con la norma ISO/IEC 19790 e introduce nuevas mejoras en los requisitos de seguridad en relación con la norma FIPS 140-2, ahora retirada.

Para habilitar el modo FIPS en AL2023, descargue los paquetes necesarios en su instancia de Amazon EC2 y conéctese a ella para activar el modo FIPS. Para obtener instrucciones detalladas, consulte Habilitar modo FIPS.

Los módulos criptográficos de Amazon Linux 2023 (OpenSSL, NSS, Libgcrypt, Kernel, GnuTLS) se han enviado para la validación FIPS 140-3. Desde el 2 de febrero de 2024, los 5 módulos criptográficos están en la lista de módulos en proceso (MIP) de FIPS. La lista de MIP contiene módulos criptográficos que han completado todas las pruebas de FIPS y están a la espera de la revisión de CMVP y la emisión del certificado. El programa de validación de módulos criptográficos (CMVP) es un esfuerzo conjunto entre el Instituto Nacional de Normalización y Tecnología del Departamento de Comercio y el Centro Canadiense de Ciberseguridad, una sucursal Communications Security Establishment. Visite el sitio web del programa de validación de módulos criptográficos (CMVP) para conocer el estado de FIPS de los módulos criptográficos en AL2023.

Es posible que los clientes puedan usar los módulos criptográficos de AL2023 mientras los módulos estén en la lista de MIP. AWS recomienda que los clientes consulten con su equipo de conformidad para determinar si es aceptable usar los módulos criptográficos de AL2023 para las cargas de trabajo que requieren FIPS y para obtener las aprobaciones cuando sea necesario. 

OpenSSL, NSS, Libgcyprt, Kernel y GnuTLS de AL2023 se probaron en Intel, AMD y Graviton. Los detalles figurarán en los certificados finales.

AL2023 proporciona actualizaciones para los paquetes y mantendrá la compatibilidad dentro de una versión principal para las aplicaciones de los clientes creadas en AL2023. Los paquetes principales, como glibc, openssl, openssh y el administrador de paquetes dnf, reciben soporte durante el ciclo de vida de la versión principal de AL2023. Los paquetes que no formen parte de los paquetes principales recibirán el soporte definido por las fuentes ascendentes. Puede ver el estado de soporte específico y las fechas de los paquetes individuales mediante la ejecución del comando “dnf supportinfo packagename”. La lista completa de paquetes principales se completará durante la versión preliminar. Si desea que se incluyan más paquetes como paquetes principales, comuníquenoslo y lo evaluaremos a medida que recojamos comentarios al respecto. Puede enviar comentarios sobre Amazon Linux 2023 a través de su representante de AWS designado, los foros de discusión de Amazon Linux o la página de GitHub de Amazon Linux 2023.