Vydání systémového správce systemd 246

Po pěti měsících vývoje byl představen vydání systémového správce systemd 246. Nová verze přináší podporu zmrazení unitů, možnost ověření obrazu kořenového disku pomocí digitálního podpisu, podporu komprese žurnálu a core dumpů pomocí algoritmu ZSTD, možnost odemčení přenosných domácích adresářů prostřednictvím tokenů FIDO2, podporu odemčení oddílů Microsoft BitLocker přes /etc/crypttab, a došlo k přejmenování BlackList na DenyList.

Hlavní změny:

• Byla přidána podpora kontroléru zdrojů freezer založeného na cgroups v2, díky kterému je možné zastavit pracovní procesy a dočasně uvolnit některé zdroje (CPU, vstup/výstup a potenciálně i paměť) pro provádění jiných úloh. Řízení zmrazení a rozmrazení unitů se provádí pomocí nového příkazu „systemctl freeze“ nebo prostřednictvím D-Bus.
• Byla přidána podpora ověření obrazu kořenového disku pomocí digitálního podpisu. Ověření se provádí prostřednictvím nových nastavení v servisních unitech: RootHash (kořenový hash pro ověření diskového obrazu, uvedeného přes volbu RootImage) a RootHashSignature (digitální podpis ve formátu PKCS#7 pro kořenový hash).
• V obslužném programu PID 1 byla implementována možnost automatického načítání předkompilovaných pravidel AppArmor (/etc/apparmor/earlypolicy) v rané fázi zavádění.
• Byla přidána nová nastavení unit souborů: ConditionPathIsEncrypted a AssertPathIsEncrypted pro kontrolu umístění zadané cesty na blokovém zařízení, kde je použito šifrování (dm-crypt/LUKS), ConditionEnvironment a AssertEnvironment pro kontrolu proměnných prostředí (například nastavovaných PAM nebo při konfiguraci kontejnerů).
• Pro jednotky *.mount byla implementována nastavení ReadWriteOnly, zakazující připojit oddíl v režimu pouze pro čtení, pokud se jej nepodařilo připojit pro čtení a zápis. V /etc/fstab je tento režim nastavitelný pomocí volby „x-systemd.rw-only“.
• Pro jednotky *.socket byla přidána nastavení PassPacketInfo, zahrnující přidání dalších metadat jádrem pro každý paket čtený ze socketu (zahrnuje režimy IP_PKTINFO, IPV6_RECVPKTINFO a NETLINK_PKTINFO pro socket).
• Pro služby (jednotky *.service) byly navrženy nastavení CoredumpFilter (určuje sekce paměti, které mají být zahrnuty do core dumpů) a
  TimeoutStartFailureMode/TimeoutStopFailureMode (určuje chování (SIGTERM, SIGABRT nebo SIGKILL) při dosažení timeoutu při spuštění nebo zastavení služby).
• Většina možností nyní podporuje specifikaci hexadecimálních hodnot s prefixem „0x“.
• V různých parametrech příkazového řádku a konfiguračních souborech spojených s nastavením klíčů nebo certifikátů byla implementována možnost specifikace cesty k unixovým socketům (AF_UNIX) pro přenos klíčů a certifikátů prostřednictvím IPC služeb, když není žádoucí umisťovat certifikáty na nezašifrované diskové úložiště.
• Byla přidána podpora šesti nových specifikátorů, které lze použít v unitech, tmpfiles.d/, sysusers.d/ a dalších konfiguračních souborech: %a pro vložení aktuální architektury, %o/%w/%B/%W pro vložení polí s identifikátory z /etc/os-release a %l pro vložení krátkého názvu hostitele.
• V unit souborech byla zrušena podpora syntaxe „.include“, která byla prohlášena za zastaralou před 6 lety.
• V nastaveních StandardError a StandardOutput byla zrušena podpora hodnot „syslog“ a „syslog-console“, které budou automaticky převedeny na „journal“ a „journal+console“.
• Pro automaticky vytvářené montážní body založené na tmpfs (/tmp, /run, /dev/shm atd.) byla zavedena omezení velikosti a počtu inode, odpovídající 50% z velikosti RAM pro /tmp a /dev/shm, a 10% z RAM pro všechny ostatní montáže.
• Byly přidány nové parametry příkazového řádku jádra: systemd.hostname pro nastavení názvu hostitele v rané fázi bootování, udev.blockdev_read_only pro omezení všech připojených fyzických blokových zařízení na režim pouze pro čtení (pro selektivní zrušení lze použít příkaz „blockdev –setrw“), systemd.swap pro vypnutí automatického aktivace swapového oddílu, systemd.clock-usec pro nastavení systémových hodin v mikrosekundách, systemd.condition-needs-update a systemd.condition-first-boot pro přepsání kontrol ConditionNeedsUpdate a ConditionFirstBoot.
• Ve výchozím nastavení je nastaven sysctl fs.suid_dumpable na hodnotu 2 („suidsafe“), což povoluje ukládání core dumpů pro procesy s flagem suid.
• Z databáze zařízení ChromiumOS byl převzat soubor /usr/lib/udev/hwdb.d/60-autosuspend.hwdb, který obsahuje informace o PCI a USB zařízeních podporujících automatické přepínání do režimu spánku.
• Do networkd.conf byla přidána konfigurace ManageForeignRoutes, při jejímž zapnutí začně systemd-networkd řídit všechny trasy nastavené jinými nástroji.
• Do souborů .network byla přidána sekce „[SR-IOV]“ pro konfiguraci síťových zařízení s podporou SR-IOV (Single Root I/O Virtualization).
• Do systemd-networkd byla do sekce „[Network]“ přidána konfigurace IPv4AcceptLocal pro povolení příjmu paketů na síťovém rozhraní, které přišly z místní výchozí adresy.
• Do systemd-networkd byla přidána schopnost konfigurovat prioritizační disciplíny provozu HTB prostřednictvím sekcí [HierarchyTokenBucket] a
  [HierarchyTokenBucketClass], „pfifo“ prostřednictvím [PFIFO], „GRED“ prostřednictvím [GenericRandomEarlyDetection], „SFB“ prostřednictvím [StochasticFairBlue], „cake“
  prostřednictvím [CAKE], „PIE“ prostřednictvím [PIE], „DRR“ prostřednictvím [DeficitRoundRobinScheduler] a
  [DeficitRoundRobinSchedulerClass], „BFIFO“ prostřednictvím [BFIFO],
  „PFIFOHeadDrop“ prostřednictvím [PFIFOHeadDrop], „PFIFOFast“ prostřednictvím [PFIFOFast], „HHF“
  prostřednictvím [HeavyHitterFilter], „ETS“ prostřednictvím [EnhancedTransmissionSelection],
  „QFQ“ prostřednictvím [QuickFairQueueing] a [QuickFairQueueingClass].
• Do systemd-networkd byla do sekce [DHCPv4] přidána konfigurace UseGateway pro zakázání použití informací o bráně získaných prostřednictvím DHCP.
• Do systemd-networkd v sekcích [DHCPv4] a [DHCPServer] byla přidána konfigurace SendVendorOption pro nastavení a zpracování dalších možností výrobce.
• Do systemd-networkd v sekci [DHCPServer] byl implementován nový set možností EmitPOP3/POP3, EmitSMTP/SMTP a EmitLPR/LPR pro přidání informací o serverech POP3, SMTP a LPR.
• Do systemd-networkd do souborů .netdev v sekci [Bridge] byla přidána konfigurace VLANProtocol pro výběr používaného protokolu VLAN.
• Do systemd-networkd do souborů .network v sekci [Link] byla implementována konfigurace Group pro správu skupiny odkazů.
• Nastavení BlackList bylo přejmenováno na DenyList (pro zajištění zpětné kompatibility byla zachována podpora starého názvu).
• Do systemd-networkd byla přidána velká sada možností týkajících se IPv6 a DHCPv6.
• Do networkctl byla přidána příkaz „forcerenew“ pro povinné obnovení všech svazků adres (lease).
• Do systemd-resolved v nastavení DNS byla přidána možnost uvedení čísla portu a názvu hostitele pro ověření certifikátu DNS-over-TLS. Do realizace DNS-over-TLS byla přidána podpora kontroly SNI.
• Do systemd-resolved byla přidána možnost nastavení přesměrování jednosoučástových DNS názvů (single-label, z jednoho názvu hostitele).
• Do systemd-journald byla zajištěna podpora použití algoritmu zstd pro kompresi velkých polí v záznamech. Byla provedena práce na ochraně proti vzniku kolizí v hashovacích tabulkách používaných v záznamech.
• Do journalctl při výpisu zpráv logu byly přidány klikatelné URL s odkazy na dokumentaci.
• Do konfiguračního souboru journald.conf byla přidána možnost Audit pro správu zapnutí auditu během inicializace systemd-journald.
• Do systemd-coredump byla přidána možnost komprese core dumpů pomocí algoritmu zstd.
• Do systemd-repart byla přidána možnost nastavení UUID pro přiřazení UUID nově vytvořené partition.
• V systému systemd-homed, který spravuje přenosné domácí adresáře, byla přidána možnost odemčení domácích adresářů pomocí tokenů FIDO2. Do backendu šifrování LUKS byla přidána podpora automatického vracení prázdných bloků souborového systému po ukončení relace. Byla přidána ochrana proti dvojímu šifrování dat, pokud je určeno, že pro partition \/home v systému již je šifrování aplikováno.
• Do souboru \/etc\/crypttab byly přidány možnosti: „keyfile-erase“ pro odstranění klíče po použití a „try-empty-password“ pro pokus o odemčení partition s prázdným heslem před zvolením hesla uživateli (užitečné pro instalaci šifrovaných obrazů s nastavením hesla až po prvním spuštění, ne v průběhu instalace).
• Ve systemd-cryptsetup byla během spuštění implementována podpora pro odemykání partition Microsoft BitLocker pomocí \/etc\/crypttab. Byla také přidána možnost čtení
  klíčů pro automatické odemčení partition z souborů \/etc\/cryptsetup-keys.d\/.key a \/run\/cryptsetup-keys.d\/.key.
• Byl přidán generátor systemd-xdg-autostart-generator pro vytváření unit souborů z .desktop souborů pro automatické spouštění.
• Do „bootctl“ byla přidána příkaz „reboot-to-firmware“.
• Do systemd-firstboot byly přidány možnosti: „—image“ pro určení diskového obrazu pro spuštění, „—kernel-command-line“ pro inicializaci souboru \/etc\/kernel\/cmdline, „—root-password-hashed“ pro určení hash hesla root a „—delete-root-password“ pro odstranění hesla root.

Zdroj: opennet.ru