UKI (ইউনিফাইড কার্নেল ইমেজ) সমর্থন সহ systemd সিস্টেম ম্যানেজার 252 এর রিলিজ

বিকাশের পাঁচ মাস পরে, সিস্টেম ম্যানেজার systemd 252-এর রিলিজ উপস্থাপন করা হয়েছিল। নতুন সংস্করণে মূল পরিবর্তনটি ছিল একটি আধুনিকীকৃত বুট প্রক্রিয়ার জন্য সমর্থনের একীকরণ, যা আপনাকে শুধুমাত্র কার্নেল এবং বুটলোডার নয়, উপাদানগুলিও যাচাই করতে দেয়। ডিজিটাল স্বাক্ষর ব্যবহার করে মৌলিক সিস্টেম পরিবেশের।

প্রস্তাবিত পদ্ধতিতে লোড করার সময় একটি ইউনিফাইড কার্নেল ইমেজ UKI (ইউনিফাইড কার্নেল ইমেজ) ব্যবহার করা জড়িত, যা UEFI (UEFI বুট স্টাব), একটি লিনাক্স কার্নেল ইমেজ এবং মেমরিতে লোড করা initrd সিস্টেম পরিবেশ থেকে কার্নেল লোড করার জন্য একটি হ্যান্ডলারকে একত্রিত করে। রুট FS মাউন্ট করার আগে পর্যায়ে প্রাথমিক আরম্ভের জন্য। UKI ইমেজটি PE ফরম্যাটে একটি একক এক্সিকিউটেবল ফাইল হিসেবে প্যাকেজ করা হয়, যা ঐতিহ্যগত বুটলোডার ব্যবহার করে লোড করা যায় বা সরাসরি UEFI ফার্মওয়্যার থেকে কল করা যায়। UEFI থেকে কল করা হলে, শুধুমাত্র কার্নেলের নয়, initrd-এর বিষয়বস্তুর ডিজিটাল স্বাক্ষরের অখণ্ডতা এবং নির্ভরযোগ্যতা যাচাই করা সম্ভব।

TPM পিসিআর (বিশ্বস্ত প্ল্যাটফর্ম মডিউল প্ল্যাটফর্ম কনফিগারেশন রেজিস্টার) রেজিস্টারের পরামিতি গণনা করার জন্য যা অখণ্ডতা নিরীক্ষণ করতে এবং UKI চিত্রের একটি ডিজিটাল স্বাক্ষর তৈরি করতে ব্যবহৃত হয়, একটি নতুন ইউটিলিটি সিস্টেমড-মেজার অন্তর্ভুক্ত করা হয়েছে। স্বাক্ষরে ব্যবহৃত পাবলিক কী এবং তার সাথে থাকা PCR তথ্য সরাসরি UKI বুট ইমেজে এম্বেড করা যেতে পারে (কী এবং স্বাক্ষর '.pcrsig' এবং '.pcrkey' ক্ষেত্রের একটি PE ফাইলে সংরক্ষিত হয়) এবং বহিরাগত দ্বারা এটি থেকে বের করা হয়। বা অভ্যন্তরীণ ইউটিলিটি।

বিশেষ করে, systemd-cryptsetup, systemd-cryptenroll এবং systemd-creds ইউটিলিটিগুলিকে এই তথ্য ব্যবহার করার জন্য অভিযোজিত করা হয়েছে, যার সাহায্যে আপনি নিশ্চিত করতে পারেন যে এনক্রিপ্ট করা ডিস্ক পার্টিশনগুলি একটি ডিজিটালি স্বাক্ষরিত কার্নেলের সাথে আবদ্ধ রয়েছে (এই ক্ষেত্রে, এনক্রিপ্ট করা পার্টিশনে অ্যাক্সেস শুধুমাত্র UKI চিত্রটি TPM-এ অবস্থিত পরামিতিগুলির উপর ভিত্তি করে ডিজিটাল স্বাক্ষর দ্বারা যাচাইকরণ পাস করলেই প্রদান করা হয়)।

অতিরিক্তভাবে, systemd-pcrphase ইউটিলিটি অন্তর্ভুক্ত করা হয়েছে, যা আপনাকে TPM 2.0 স্পেসিফিকেশন সমর্থন করে এমন ক্রিপ্টোপ্রসেসরের মেমরিতে অবস্থিত বিভিন্ন বুট পর্যায়গুলির বাঁধাই নিয়ন্ত্রণ করতে দেয় (উদাহরণস্বরূপ, আপনি শুধুমাত্র LUKS2 পার্টিশন ডিক্রিপশন কী উপলব্ধ করতে পারেন initrd ইমেজ এবং পরবর্তী পর্যায়ে ডাউনলোডগুলিতে এটিতে অ্যাক্সেস ব্লক করুন)।

কিছু অন্যান্য পরিবর্তন:

• সেটিংসে একটি ভিন্ন লোকেল নির্দিষ্ট না করা পর্যন্ত ডিফল্ট লোকেলটি C.UTF-8 নিশ্চিত করে৷
• এখন প্রথম বুটের সময় একটি সম্পূর্ণ পরিষেবা প্রিসেট অপারেশন ("systemctl preset") করা সম্ভব। বুট টাইমে প্রিসেট সক্রিয় করার জন্য "-Dfirst-boot-full-preset" বিকল্পের সাথে তৈরি করা প্রয়োজন, কিন্তু ভবিষ্যতে রিলিজে ডিফল্টরূপে সক্রিয় করার পরিকল্পনা করা হয়েছে।
• ব্যবহারকারী পরিচালন ইউনিটগুলি একটি CPU রিসোর্স কন্ট্রোলারকে জড়িত করে, যা এটি নিশ্চিত করা সম্ভব করে যে CPUWeight সেটিংস সিস্টেমটিকে বিভিন্ন অংশে (app.slice, background.slice, session.slice) বিভক্ত করার জন্য ব্যবহৃত সমস্ত স্লাইস ইউনিটগুলিতে প্রয়োগ করা হয়েছে। বিভিন্ন ব্যবহারকারী পরিষেবা, সিপিইউ সংস্থানগুলির জন্য প্রতিযোগিতা করে। উপযুক্ত রিসোর্স প্রভিশনিং মোড সক্রিয় করতে CPUWeight "অলস" মানকেও সমর্থন করে।
• অস্থায়ী ("ক্ষণস্থায়ী") ইউনিটে এবং সিস্টেমড-রিপার্ট ইউটিলিটিতে, /etc/systemd/system/name.d/ ডিরেক্টরিতে ড্রপ-ইন ফাইল তৈরি করে ওভাররাইডিং সেটিংস অনুমোদিত।
• সিস্টেম ইমেজগুলির জন্য, সমর্থন-সম্পন্ন পতাকা সেট করা হয়েছে, এই সত্যটি নির্ধারণ করে নতুন প্যারামিটার "SUPPORT_END=" এর মান /etc/os-release ফাইলের উপর ভিত্তি করে।
• "কন্ডিশন ক্রেডেনশিয়াল=" এবং "AssertCredential=" সেটিংস যোগ করা হয়েছে, যা সিস্টেমে নির্দিষ্ট শংসাপত্র উপস্থিত না থাকলে ইউনিটগুলিকে উপেক্ষা বা ক্র্যাশ করতে ব্যবহার করা যেতে পারে।
• "DefaultSmackProcessLabel=" এবং "DefaultDeviceTimeoutSec=" সেটিংস যোগ করা হয়েছে system.conf এবং user.conf-এ ডিফল্ট SMACK নিরাপত্তা স্তর এবং ইউনিট অ্যাক্টিভেশন সময়সীমা নির্ধারণ করতে।
• "কন্ডিশন ফার্মওয়্যার=" এবং "AssertFirmware=" সেটিংসে, পৃথক SMBIOS ক্ষেত্রগুলি নির্দিষ্ট করার ক্ষমতা যোগ করা হয়েছে, উদাহরণস্বরূপ, শুধুমাত্র /sys/class/dmi/id/board_name ক্ষেত্রের মান "কাস্টম" থাকলেই একটি ইউনিট চালু করতে বোর্ড", আপনি নির্দিষ্ট করতে পারেন "কন্ডিশন ফার্মওয়্যার=smbios" -ক্ষেত্র(board_name = "কাস্টম বোর্ড")"।
• ইনিশিয়ালাইজেশন প্রক্রিয়ার সময় (PID 1), SMBIOS ক্ষেত্রগুলি থেকে শংসাপত্র আমদানি করার ক্ষমতা (Type 11, “OEM ভেন্ডর স্ট্রিংস”) তাদের সংজ্ঞার সাথে qemu_fwcfg-এর মাধ্যমে যোগ করা হয়েছে, যা ভার্চুয়াল মেশিনে শংসাপত্রের বিধানকে সহজ করে দেয় এবং বাদ দেয় ক্লাউড-ইনিট এবং ইগনিশনের মতো তৃতীয় পক্ষের সরঞ্জামগুলির প্রয়োজন।
• শাটডাউনের সময়, ভার্চুয়াল ফাইল সিস্টেম (proc, sys) আনমাউন্ট করার যুক্তি পরিবর্তন করা হয়েছে এবং ফাইল সিস্টেমের আনমাউন্টিং ব্লক করার প্রক্রিয়া সম্পর্কে তথ্য লগে সংরক্ষণ করা হয়েছে।
• সিস্টেম কল ফিল্টার (SystemCallFilter) ডিফল্টরূপে riscv_flush_icache সিস্টেম কলে অ্যাক্সেসের অনুমতি দেয়।
• sd-boot বুটলোডার মিশ্র মোডে বুট করার ক্ষমতা যোগ করে, যেখানে 64-বিট লিনাক্স কার্নেল 32-বিট UEFI ফার্মওয়্যার থেকে চলে। ESP (EFI সিস্টেম পার্টিশন) পাওয়া ফাইলগুলি থেকে স্বয়ংক্রিয়ভাবে সিকিউরবুট কীগুলি প্রয়োগ করার পরীক্ষামূলক ক্ষমতা যুক্ত করা হয়েছে।
• নতুন বিকল্পগুলি bootctl ইউটিলিটিতে যোগ করা হয়েছে: সমস্ত সমর্থিত EFI আর্কিটেকচারের জন্য বাইনারী ইনস্টল করার জন্য “—অল-আর্কিটেকচার”, “—root=” এবং “—image=” একটি ডিরেক্টরি বা ডিস্ক ইমেজের সাথে কাজ করার জন্য, “—install-source =” ইনস্টলেশনের উৎস নির্ধারণের জন্য, "-efi-boot-option-description=" বুট এন্ট্রি নাম নিয়ন্ত্রণ করতে।
• 'list-automounts' কমান্ডটি systemctl ইউটিলিটিতে যুক্ত করা হয়েছে স্বয়ংক্রিয়ভাবে মাউন্ট করা ডিরেক্টরিগুলির একটি তালিকা প্রদর্শন করতে এবং নির্দিষ্ট ডিস্ক চিত্রের সাথে কমান্ড চালানোর জন্য '--image=' বিকল্প। 'শো' এবং 'স্ট্যাটাস' কমান্ডে "--state=" এবং "--type=" বিকল্পগুলি যোগ করা হয়েছে৷
• systemd-networkd যোগ করা বিকল্পগুলি "TCPCongestionControlAlgorithm=" TCP কনজেশন কন্ট্রোল অ্যালগরিদম নির্বাচন করতে, "KeepFileDescriptor=" TUN/TAP ইন্টারফেসের ফাইল বর্ণনাকারী সংরক্ষণ করতে, "NetLabel=" NetLabels সেট করতে, "RapidCommit=" DCPur6 কনফিগারেশনের মাধ্যমে গতি বাড়াতে (RFC 3315)। "RouteTable=" প্যারামিটারটি রাউটিং টেবিলের নাম নির্দিষ্ট করার অনুমতি দেয়।
• systemd-nspawn "--bind=" এবং "--overlay=" বিকল্পগুলিতে আপেক্ষিক ফাইল পাথ ব্যবহারের অনুমতি দেয়। হোস্ট সাইডে মাউন্ট করা ডিরেক্টরির মালিকের সাথে কন্টেইনারে রুট ইউজার আইডি আবদ্ধ করতে "--bind=" বিকল্পে 'rootidmap' প্যারামিটারের জন্য সমর্থন যোগ করা হয়েছে।
• সিস্টেমড-সমাধান ডিফল্টরূপে তার এনক্রিপশন ব্যাকএন্ড হিসাবে OpenSSL ব্যবহার করে (gnutls সমর্থন একটি বিকল্প হিসাবে রাখা হয়)। অসমর্থিত DNSSEC অ্যালগরিদমগুলি এখন একটি ত্রুটি (SERVFAIL) ফেরত দেওয়ার পরিবর্তে অনিরাপদ হিসাবে বিবেচিত হয়৷
• systemd-sysusers, systemd-tmpfiles এবং systemd-sysctl একটি শংসাপত্র স্টোরেজ পদ্ধতির মাধ্যমে সেটিংস স্থানান্তর করার ক্ষমতা প্রয়োগ করে।
• সংস্করণ সংখ্যার সাথে স্ট্রিং তুলনা করতে systemd-analyze ইউটিলিটিতে 'compare-versions' কমান্ড যোগ করা হয়েছে ('rpmdev-vercmp' এবং 'dpkg --compare-versions'-এর অনুরূপ)। মাস্ক দ্বারা ইউনিট ফিল্টার করার ক্ষমতা 'systemd-analyze dump' কমান্ডে যোগ করা হয়েছে।
• একটি মাল্টি-স্টেজ স্লিপ মোড নির্বাচন করার সময় (সাসপেন্ড-তখন-হাইবারনেট), স্ট্যান্ডবাই মোডে কাটানো সময়টি এখন বাকি ব্যাটারি জীবনের পূর্বাভাসের উপর ভিত্তি করে নির্বাচন করা হয়। স্লিপ মোডে তাত্ক্ষণিক রূপান্তর ঘটে যখন 5% এর কম ব্যাটারি চার্জ থাকে।
• একটি নতুন আউটপুট মোড "-o short-delta" যোগ করা হয়েছে 'journalctl'-এ, লগের বিভিন্ন বার্তার মধ্যে সময়ের পার্থক্য প্রদর্শন করে।
• systemd-repart Squashfs ফাইল সিস্টেমের সাথে পার্টিশন এবং dm-verity-এর পার্টিশন তৈরি করার জন্য সমর্থন যোগ করে, এর মধ্যে ডিজিটাল স্বাক্ষর সহ।
• একটি নির্দিষ্ট সময়সীমার পরে একটি নিষ্ক্রিয় অধিবেশন শেষ করতে systemd-logind-এ "StopIdleSessionSec=" সেটিং যোগ করা হয়েছে৷
• Systemd-cryptenroll ব্যবহারকারীকে অনুরোধ করার পরিবর্তে একটি ফাইল থেকে ডিক্রিপশন কী বের করার জন্য একটি "--unlock-key-file=" বিকল্প যোগ করেছে।
• এখন udev ছাড়া পরিবেশে systemd-growfs ইউটিলিটি চালানো সম্ভব।
• systemd-backlight একাধিক গ্রাফিক্স কার্ড সহ সিস্টেমের জন্য উন্নত সমর্থন করেছে।
• ডকুমেন্টেশনে প্রদত্ত কোড উদাহরণের লাইসেন্স CC0 থেকে MIT-0 এ পরিবর্তিত হয়েছে।

পরিবর্তনগুলি যা সামঞ্জস্যতা ভেঙে দেয়:

• ConditionKernelVersion নির্দেশিকা ব্যবহার করে কার্নেল সংস্করণ নম্বর পরীক্ষা করার সময়, '=' এবং '!=' অপারেটরগুলিতে এখন একটি সাধারণ স্ট্রিং তুলনা ব্যবহার করা হয় এবং তুলনা অপারেটরটি একেবারে নির্দিষ্ট না থাকলে, গ্লোব-মাস্ক ম্যাচিং ব্যবহার করে ব্যবহার করা যেতে পারে অক্ষর '*', '?' এবং '[', ']'। stverscmp() ফাংশনের শৈলীতে সংস্করণ তুলনা করতে, আপনার '', '=' অপারেটর ব্যবহার করা উচিত।
• একটি ইউনিট ফাইল থেকে অ্যাক্সেস চেক করার জন্য ব্যবহৃত SELinux ট্যাগটি এখন ফাইল লোড করার সময় পড়া হয়, অ্যাক্সেস চেক করার সময় নয়।
• "কন্ডিশন ফার্স্টবুট" কন্ডিশনটি এখন সিস্টেমের প্রথম বুটে শুধুমাত্র সরাসরি বুট পর্যায়ে ট্রিগার করা হয় এবং বুট সম্পূর্ণ হওয়ার পরে ইউনিট কল করার সময় "মিথ্যা" প্রদান করে।
• 2024 সালে, systemd cgroup v1 রিসোর্স লিমিটিং মেকানিজমকে সমর্থন করা বন্ধ করার পরিকল্পনা করেছে, যা systemd রিলিজ 248-এ অবমূল্যায়িত হয়েছিল। অ্যাডমিনিস্ট্রেটরদের cgroup v2-ভিত্তিক পরিষেবাগুলিকে cgroup v1-এ স্থানান্তর করার আগে থেকেই সতর্কতা অবলম্বন করার পরামর্শ দেওয়া হচ্ছে। cgroups v2 এবং v1 এর মধ্যে মূল পার্থক্য হল CPU রিসোর্স বরাদ্দ করার জন্য, মেমরি খরচ নিয়ন্ত্রণ করার জন্য এবং I/O-এর জন্য আলাদা শ্রেণীবিন্যাস না করে সব ধরনের রিসোর্সের জন্য একটি সাধারণ cgroups হায়ারার্কি ব্যবহার করা। পৃথক শ্রেণিবিন্যাস হ্যান্ডলারদের মধ্যে মিথস্ক্রিয়া সংগঠিত করতে এবং বিভিন্ন শ্রেণিবিন্যাসে উল্লেখিত একটি প্রক্রিয়ার জন্য নিয়ম প্রয়োগ করার সময় অতিরিক্ত কার্নেল সংস্থান খরচে অসুবিধার দিকে পরিচালিত করে।
• 2023 সালের দ্বিতীয়ার্ধে, আমরা বিভক্ত ডিরেক্টরি শ্রেণিবিন্যাসের জন্য সমর্থন শেষ করার পরিকল্পনা করছি, যেখানে /usr রুট থেকে আলাদাভাবে মাউন্ট করা হয়েছে, অথবা /bin এবং /usr/bin, /lib এবং /usr/lib আলাদা করা হয়েছে।

উত্স: opennet.ru