Amazon Linux 2023 に関するよくある質問

メジャーリリースには、カーネル、ツールチェーン、glibc、openssl、およびその他すべてのシステムライブラリとユーティリティなど、スタック全体の新機能とセキュリティおよびパフォーマンスの改善が含まれます。AL2023 のメジャーリリースの一部は、アップストリームの Fedora Linux ディストリビューションの現在のバージョンに基づいていますが、Amazon は Fedora 以外の他のアップストリームから特定のパッケージを追加または置換することを選択する場合があります (Linux カーネルが kernel.org の Long Term Support の選択肢から提供され、Amazon の Linux 製品専用で維持される、など)。リポジトリ内のパッケージのメジャーリリースの更新は、下位互換性がない場合があることにご留意ください。以前のメジャーリリースからの変更の完全なリストが提供されます。これにより、パッケージレベルでインプレースアップグレードを実行できるようになります。

四半期ごとのマイナーリリース (1.1、1.2) には、セキュリティ更新、バグ修正、および新機能とパッケージが含まれます。マイナーリリースの例には、PHP などの最新の言語ランタイムや、Ansible や Docker などの他の一般的なソフトウェアパッケージが含まれます。マイナーリリースでは、アプリケーションの互換性を損なうような変更は行われません。例えば、言語ランタイムのデフォルトバージョンは安定したままですが、新しいバージョンの言語ランタイムは新しいパッケージとしてリポジトリに提供されます。

更新は、新しい AMI (Amazon マシンイメージ) リリースと対応する新しいリポジトリの組み合わせを介して提供されます。デフォルトでは、新しい AMI とそれがポイントするリポジトリが結合されますが、実行中のインスタンスで更新を消費するために、時間の経過に合わせて実行中の Amazon EC2 インスタンスを新しいリポジトリバージョンにポイントすることができます。最新の AMI の新しいインスタンスを起動して更新することもできます。

AL2023 は、リポジトリの特定のバージョンにロックします。EC2 起動ウィザードに表示される AL2023 AMI は常に最新であり、重大および重要なセキュリティ更新を含む最新のパッケージと更新が含まれています。起動ウィザードを介して AL2023 AMI を使用して EC2 インスタンスを起動すると、常に最新の更新が提供されます (AL2 の現在のエクスペリエンスと同じです)。ただし、古い AMI からインスタンスを起動した場合、更新は自動的に適用されず、プロビジョニングの一部としてインストールされた追加のパッケージは、古い AMI の構築元となったリポジトリバージョンにマッピングします。これにより、特に同じ AMI から複数のインスタンスを起動する場合に、環境全体でパッケージバージョンと更新の一貫性を確保できます。自分に合ったスケジュールに基づいて更新を適用できます。

AL2023 リポジトリの新しいバージョンが公開された後も、以前のすべてのバージョンは引き続きご利用いただけます。デフォルトでは、リポジトリのバージョンを管理するためのプラグインは、AMI の構築に使用されたのと同じバージョンにロックされます。パッケージの更新をコントロールする必要がある場合は、「dnf check-release-update」を実行して更新可能なリポジトリのバージョンを検出し、リストにあるコマンド「dnf -releasever=version update」を実行してバージョンを選択できます。その時点で、「dnf install」または「dnf upgrade」は、選択したリポジトリバージョンからのみパッケージを選択します。パッケージの更新をコントロールする必要がない場合は、「最新」バージョンを選択できます。これにより、常に最新バージョンの AL2023 リポジトリがポイントされます。これにより、ユーザーおよび既存のパッチワークフローが想定する可能性のあるパッケージ更新の従来の動作が復元されます。

はい。SELinux は、アクセスコントロールポリシーを提供するセキュリティモジュールです。Linux サーバーをロックダウンし、悪意のあるアクティビティから保護するために、業界で広く使用されています。AL2023 内の主要なアプリケーションには、あらかじめ SELinux ポリシーが設定されており、お客様のコンプライアンスニーズに対応します。

AL2023 は、デフォルトで SELinux が許容モードになっています。コマンドラインから 'setenforce' を実行するか、cloud-init userdata から起動時にこのコマンドを実行することで、SELinux の設定をenforced modeに変更することができます。インスタンスを再起動すると、変更しない限り、最初に指定された SELinux 設定が記憶され、使用されます。詳細については、AL2023 ドキュメントをご覧ください。

詳細については、Amazon Linux 2023 リリースノートをご覧ください。リリース候補版と GA 版の間の変更の例としては、Hibernation エージェントや、デフォルトで IMDSv2 のみで起動するように登録された AMI（つまり IMDSv1 を無効にしたもの）などがあります。

Amazon Linux は、ほとんどの Linux ディストリビューションと同様に、定期的にセキュリティ修正をリポジトリ内の安定したパッケージバージョンにバックポートします。これらのパッケージがバックポートで更新されると、特定の問題の Amazon Linux セキュリティ速報に、Amazon Linux で問題が修正された特定のパッケージバージョンが一覧表示されます。プロジェクトの作成者によるバージョニングに依存しているセキュリティスキャナーでは、特定の CVE 修正が古いバージョンに適用されたことが検出されないことがあります。お客様は、Amazon Linux Security Center (ALAS) でセキュリティ上の問題や修正に関する最新情報を確認できます。

Federal Information Processing Standard (FIPS) Publication 140-3 には、連邦コンピュータシステムのデータ保護と暗号化に関する標準とガイドラインが含まれています。暗号モジュールの有効性を検証するために、米国国立標準技術研究所（NIST）、カナダサイバーセキュリティセンター（CCCS）、および業界ワーキンググループによって開発されました。FIPS 140-3はISO/IEC 19790規格に準拠しており、現在は廃止されたFIPS 140-2規格と比較してセキュリティ要件に新たな強化が導入されています。

AL2023 で FIPS モードを有効にするには、Amazon EC2 インスタンスに必要なパッケージをダウンロードし、それに接続して FIPS モードをオンにします。詳細な手順については、「FIPS モードを有効にする」をご覧ください。

Amazon Linux 2023 暗号化モジュール (OpenSSL、NSS、Libgcrypt、Kernel、GnuTLS) が FIPS 140-3 検証のために提出されました。AL2023 暗号化モジュールの FIPS ステータスについては、Cryptographic Module Validation Program (CMVP) のウェブサイトにアクセスしてください。

お客様は、モジュールが MIP リストに含まれていても AL2023 暗号モジュールを使用できる場合があります。 AWS では、お客様が自社のコンプライアンスチームに相談して、FIPS が必要なワークロードで AL2023 暗号モジュールを使用することが許容されるかどうかを確認し、必要に応じて承認を取得することを推奨しています。 

AL2023 OpenSSL、NSS、Libgcyprt、Kernel、GnuTLS は、インテル、AMD、Graviton でテストされました。詳細は最終証明書に記載されます。

AL2023 はパッケージの更新を提供し、AL2023 で構築されたお客様のアプリケーションのメジャーバージョン内で互換性を維持します。glibc、openssl、openssh、および dnf パッケージマネージャーなどのコアパッケージについては、AL2023 のメジャーリリースの存続期間はサポート対象となります。コアパッケージの一部ではないパッケージは、アップストリームソースによって定義されたサポートの対象となります。「dnf supportinfo packagename」コマンドを実行すると、個々のパッケージの特定のサポートステータスと日付を表示できます。コアパッケージの完全なリストは、プレビュー期間中に確定されます。より多くのパッケージがコアパッケージとして含まれることをご希望の場合は、当社までお知らせください。収集するフィードバックに基づいて評価を実施します。Amazon Linux 2023 に関するフィードバックは、指定された AWS 担当者、Amazon Linux ディスカッションフォーラム、または Amazon Linux 2023 の GitHub ページを通じて提供できます。