Efter tre måneders udvikling udgivelse af systemadministrator I den nye udgave er der tilføjet nye komponenter systemd-homed og systemd-repart, understøttelse af bærbare brugerprofiler i JSON-format er blevet aktiveret, muligheden for at definere navnerum i systemd-journald er sikret, og der er tilføjet støtte til mekanismen «pidfd». Fuldt revideret. , hvor størstedelen af den tilgængelige dokumentation er samlet, og et nyt logo er blevet foreslået.
Vigtige :
- Tjenesten , som muliggør administration af bærbare hjemmemapper, der leveres som et monterbart diskbillede, hvor dataene er krypteret. Systemd-homed gør det muligt at oprette selvstændige miljøer for brugerdata, som kan flyttes mellem forskellige systemer uden at bekymre sig om synkronisering af identifikatorer og fortrolighed. Brugeroplysninger er knyttet til hjemmemappen i stedet for til systemindstillingerne — i stedet for /etc/passwd, /etc/group og /etc/shadow anvendes der en profil i formatet. . Se nærmere i systemd-homed.
- En tilknyttet systemd-homed komponent «» («systemd-userdb»), der oversætter UNIX/glibc NSS-konti til JSON-poster og tilbyder et ensartet Varlink API til forespørgsel og iteration over posterne. I den hjemmemappeknyttede JSON-profil er de nødvendige parametre til brugerens funktion angivet, herunder oplysninger om navn, hash af adgangskode, nøgler til kryptering, kvoter og tilgængelige ressourcer. Profilen kan blive underskrevet digitalt og opbevares på en ekstern Yubikey-token. For administration af profiler er værktøjet «userdbctl» blevet foreslået. Støtten til profiler i JSON-format er blevet tilføjet til flere systemd-komponenter, herunder systemd-logind og pam-systemd, der muliggør autentifikation, login, indstilling af miljøvariabler, session oprettelse, grænsesætning osv. Der forventes senere at komme mulighed for generering af JSON-profiler fra sssd-rammeværket med opbevaring af brugerindstillinger i LDAP.
- Et nyt værktøj kaldet «systemd-repart» er blevet tilføjet, som er designet til at omopdele partitionstabeller i GPT-format. Strukturene for partitionerne defineres i en deklarativ form via filer, der beskriver, hvilke partitioner der skal eller kan eksistere. Ved hver opstart sammenlignes den faktiske partitionstabel med disse filer, hvorefter manglende partitioner tilføjes, eller hvis en i indstillingerne angivet relativ eller absolutt størrelse ikke stemmer overens, øges størrelsen på eksisterende partitioner. Kun inkrementelle ændringer er tilladt, dvs. fjernelse og reduktion af størrelse er ikke muligt; partitioner kan kun tilføjes og øges.
Værktøjet er primært beregnet til kørsel fra initrd og registrerer automatisk den disk, hvor roden er placeret, hvilket ikke kræver yderligere konfiguration ud over ændringsdefinitionerne.I praksis kan systemd-repart vise sig at være nyttigt for operativsystemabbilder, der oprindeligt måtte leveres i en minimal form, og som efter første opstart kan udvides til størrelsen af den eksisterende blokenhed eller suppleret med yderligere partitioner (f.eks. kan roden udvides til at dække hele disken, eller der kan oprettes en swap-partition eller /home efter første opstart). Et andet anvendelsesområde kunne være konfigurationer med to udskiftelige partitioner — i starten kan kun den første partition blive leveret, og den anden kan oprettes ved første opstart.
- Muligheden for at køre flere instanser af systemd-journald er kommet, hvor hver instans fører logs i sit eget navnerum. Udover den primære systemd-journald.service er der tilbudt en skabelon i .service-mappen til oprettelse af yderligere instanser, der er bundet til deres egne navnerum ved hjælp af direktivet «LogNamespace». Hvert lognavnerum bliver betjent af en separat baggrundsproces med sit eget sæt af indstillinger og begrænsninger. Den foreslåede mulighed kan være nyttig til lastbalancering ved store mængder logs eller til at styrke isolation af applikationer. I journalctl er der tilføjet en option «—namespace», som begrænser forespørgslen til kun det angivne navnerum.
- I systemd-udevd og andre komponenter af systemd er der tilføjet understøttelse af mekanismen til tildeling af alternative navne til netværksgrænseflader, hvilket gør det muligt at anvende flere navne samtidig for én grænseflade. Navnet kan være op til 128 tegn langt (tidligere var navnet på en netværksgrænseflade begrænset til 16 tegn). Som standard tildeler systemd-udevd nu alle navnevarianter, der genereres af de understøttede navngivningsskemaer, til hver netværksgrænseflade. Denne adfærd kan ændres via de nye indstillinger AlternativeName og AlternativeNamesPolicy i .link-filerne. I systemd-nspawn er der implementeret en generation af alternative navne med det fulde navn på containeren til veth-links, der oprettes på værtsiden.
- I API sd-event.h er der tilføjet understøttelse af Linux-kernens "pidfd"-undersystem til håndtering af situationer med genbrug af PID (pidfd er knyttet til en specifik proces og ændres ikke, mens PID kan være knyttet til en anden proces efter afslutningen af den aktuelle proces, der er associeret med denne PID). Alle systemd-komponenter undtagen PID 1 er blevet omprogrammeret til at bruge pidfds, hvis dette undersystem understøttes af den aktuelle kerne.
- I systemd-logind er der via PolicyKit blevet sikret adgangskontrol til operationen med at skifte virtuel terminal. Som standard gives beføjelser til at skifte den aktive terminal kun til brugere, som mindst én gang har startet en session på en lokal virtuel terminal.
- For at forenkle oprettelsen af initrd-billeder med systemd, bestemmer PID 1-appen nu, om den bruges i initrd, og i så fald indlæser den automatisk initrd.target i stedet for default.target. Denne tilgang gør, at initrd-billederne og det primære system kun kan adskille sig ved tilstedeværelsen af filen /etc/initrd-release.
- Der er tilføjet et nyt kerneparameter — "systemd.cpu_affinity", der svarer til CPUAffinity-indstillingen i /etc/systemd/system.conf, og som gør det muligt at konfigurere CPU-bindingsmasken for PID 1 og andre processer.
- Der er sikret en genstart af SELinux-databasen sammen med genstarten af PID 1 via kommandoer som "systemctl daemon-reload".
- I PID 1-appen er der tilføjet indstillingen "systemd.show-status=error", som når den er aktiveret kun viser fejlmeldinger og betydelige forsinkelser under opstart på konsollen.
- I systemd-sysusers er der tilføjet understøttelse af oprettelse af brugere med navnet på den primære gruppe, som er forskellig fra brugernavnet.
- I systemd-growfs er understøttelse af udvidelse af XFS-partitioner implementeret via monteringsmuligheden x-systemd.growfs i /etc/fstab, ud over den tidligere understøttede udvidelse af Ext4- og Btrfs-partitioner.
- I /etc/crypttab er muligheden x-initrd.attach tilføjet til at definere en krypteret partition, der allerede er blevet låst op under initrd-fasen.
- I systemd-cryptsetup er der tilføjet understøttelse (pkcs11-uri mulighed i /etc/crypttab) for at låse krypterede partitioner op ved hjælp af smartkort PKCS#11, for eksempel til at knytte krypteringen af partitioner til YubiKeys.
- I /etc/fstab er der tilføjet nye monteringsmuligheder "x-systemd.required-by" og "x-systemd.wanted-by" til eksplicit at konfigurere enheder, der bestemmer monteringsoperationer, der kaldes i stedet for local-fs.target og remote-fs.target.
- Der er tilføjet en ny sandbox-isoleringsmulighed for tjenester - ProtectClock, der begrænser skrivning til systemuret (adgang blokeres på niveauet /dev/rtc, systemopkald og tilladelser CAP_SYS_TIME/CAP_WAKE_ALARM).
- I specifikationen og systemd-gpt-auto-generator er der tilføjet definitionen af partitioner.
/var и /var/tmp. - I "systemctl list-unit-files" er der tilføjet en ny kolonne, der viser tilstande for aktivering, som foreslås i producentens forudindstillinger for denne type enheder.
- I "systemctl" er muligheden "—with-dependencies" tilføjet, som ved installationen får kommandoer som "systemctl status" og "systemctl cat" til at vise ikke kun alle relevante enheder, men også de enheder, de er afhængige af.
- I systemd-networkd er der i qdisc-konfigurationen tilføjet mulighed for at konfigurere parametre som TBF (Token Bucket Filter), SFQ (Stochastic Fairness Queuing), CoDel (Controlled-Delay Active Queue Management) og FQ (Fair Queue).
- I systemd-networkd er der tilføjet understøttelse af netværksenheder IFB ().
- I systemd-networkd er parametret MultiPathRoute implementeret i [Route]-sektionen for at konfigurere multi-path ruter.
- I systemd-networkd er muligheden SendDecline tilføjet for DHCPv4-klienten; når denne er angivet, foretages der en kontrol for adressekonflikter efter modtagelse af en DHCP-respons med en adresse, og i tilfælde af konflikt afvises den tildelte adresse. For DHCPv4-klienten er der også tilføjet muligheden RouteMTUBytes, som giver mulighed for at definere MTU-størrelsen for ruter genereret fra IP-adressebindinger (leases).
- Indstillingen PrefixRoute i "[Address]"-sektionen af filerne ".network" er blevet forældet. Den er blevet afløst af indstillingen "AddPrefixRoute", der har den omvendte betydning.
- I .network-filer er der tilføjet støtte til den nye værdi «_dhcp» i Gateway-indstillingen under sektionen «[Route]», hvilket gør, at en statisk rute vælges baseret på den gateway, der er konfigureret via DHCP.
- I .network-filer er der kommet indstillinger i sektionen «[RoutingPolicyRule]»
User og SuppressPrefixLength til at angive routing fra kilden (source routing) baseret på UID-intervaller og præfikslængde. - I networkctl-kommandoen «status» er der sikret mulighed for at vise logs i tilknytning til hvert netværksinterface.
- I systemd-networkd-wait-online er der tilføjet støtte til at angive maksimal ventetid for, hvornår et interface skal være i drift, og til at vente på, at interfacet forsvinder.
- Behandlingen af .link- og .network-filer med en tom eller kommenteret sektion «[Match]» er blevet ophævet.
- I .link- og .network-filer er der kommet en indstilling «PermanentMACAddress» i sektionen «[Match]» til at kontrollere den permanente MAC-adresse for enheder ved brug af en genereret tilfældig MAC.
- Sektionen «[TrafficControlQueueingDiscipline]» i .network-filer er blevet omdøbt til «[NetworkEmulator]», og præfikset «NetworkEmulator» er blevet fjernet fra navnene på de relaterede indstillinger.
- I systemd-resolved er der tilføjet støtte til SNI-kontrol for DNS-over-TLS.
Kilde: opennet.ru
