Udgivelsen af systemadministratoren systemd 246

Efter fem måneders udvikling præsenteret udgivelse af systemadministrator systemd 246. I den nye udgave er der implementeret støtte til fryse enheder, mulighed for verifikation af root diskbilledet ved hjælp af digital signatur, støtte til komprimering af journaler og core dumps ved hjælp af ZSTD-algoritmen, mulighed for at låse op for flytbare hjemmebiblioteker ved hjælp af FIDO2 tokens, støtte til at låse op for Microsoft BitLocker partitioner via /etc/crypttab, og BlackList er blevet omdøbt til DenyList.

Vigtige Optimeringer:

• Der er tilføjet støtte til resource controller freezer baseret på cgroups v2, som gør det muligt at stoppe processer og midlertidigt frigøre visse ressourcer (CPU, input/output og potentielt endda hukommelse) til udførelse af andre opgaver. Fryse- og optøningsstyring af enheder udføres ved hjælp af den nye kommando «systemctl freeze» eller via D-Bus.
• Der er tilføjet støtte til verifikation af root diskbilledet ved hjælp af digital signatur. Kontrollen udføres ved hjælp af nye indstillinger i serviceenheder: RootHash (root hash til verifikation af diskbilledet angivet via RootImage) og RootHashSignature (digital signatur i PKCS#7-format for root hash).
• I PID 1-behandleren er muligheden for automatisk indlæsning af forudkompilerede AppArmor-regler (/etc/apparmor/earlypolicy) implementeret tidligt under opstart.
• Der er tilføjet nye indstillinger for enhedsfiler: ConditionPathIsEncrypted og AssertPathIsEncrypted til at kontrollere, om den angivne sti er placeret på et blokkering, der bruger kryptering (dm-crypt/LUKS), samt ConditionEnvironment og AssertEnvironment til at kontrollere miljøvariabler (f.eks. indstillet af PAM eller ved containeropsætning).
• For enheder *.mount er indstillingen ReadWriteOnly implementeret, som forhindrer montering af partitionen i skrivebeskyttet tilstand, hvis den ikke kunne monteres til læsning/skrift. I /etc/fstab konfigureres denne tilstand ved hjælp af optionen «x-systemd.rw-only».
• For enheder *.socket er der tilføjet indstillingen PassPacketInfo, som involverer tilføjelsen af yderligere metadata til hver pakke læst fra socketen (inkluderer IP_PKTINFO, IPV6_RECVPKTINFO og NETLINK_PKTINFO-modes for socketen).
• For tjenester (enheder *.service) er der foreslået indstillingerne CoredumpFilter (definerer sektioner af hukommelsen, der skal inkluderes i core dumps) og
  TimeoutStartFailureMode/TimeoutStopFailureMode (definerer adfærden (SIGTERM, SIGABRT eller SIGKILL) ved timeout under start eller stop af tjenesten).
• De fleste muligheder har fået support til at angive hex-værdier, der er angivet med præfikset "0x".
• I forskellige kommandoparametre og konfigurationsfiler relateret til opsætning af nøgler eller certifikater er det muligt at angive stien til Unix-sokler (AF_UNIX) for at overføre nøgler og certifikater via IPC-tjenester, når det ikke er ønskeligt at placere certifikater på ukrypterede diskopbevaringer.
• Support til seks nye specifikatorer er blevet tilføjet, som kan bruges i unit-filer, tmpfiles.d/, sysusers.d/ og andre konfigurationsfiler: %a til indsættelse af den aktuelle arkitektur, %o/%w/%B/%W til indsættelse af felter med identifikatorer fra /etc/os-release, og %l til indsættelse af det korte værtssnavn.
• I unit-filer er støtten til syntaksen ".include" ophørt, hvilket blev erklæret forældet for 6 år siden.
• I indstillingerne for StandardError og StandardOutput er støtten til værdierne "syslog" og "syslog-console" ophørt, som automatisk vil blive konverteret til "journal" og "journal+console".
• For automatisk oprettede mount-punkter baseret på tmpfs (/tmp, /run, /dev/shm osv.) er der rettet grænser for størrelsen og antallet af inode, svarende til 50% af RAM-størrelsen for /tmp og /dev/shm, og 10% af RAM for alle øvrige.
• Nye kommandoparametre til kernen er blevet tilføjet: systemd.hostname til indstilling af værtssnavnet under opstart, udev.blockdev_read_only til at begrænse alle fysiske enheders blokkerede enheder til kun at være læsebeskyttede (til selektiv deaktivering kan kommandoen "blockdev —setrw" bruges), systemd.swap til at deaktivere automatisk aktivering af swappartitionen, systemd.clock-usec til at indstille systemuret i mikrosekunder, systemd.condition-needs-update og systemd.condition-first-boot til at omdefinere tjek af ConditionNeedsUpdate og ConditionFirstBoot.
• Som standard er sysctl fs.suid_dumpable sat til 2 ("suidsafe"), hvilket tillader lagring af core-dumps for processer med suid-flaget.
• Fra ChromiumOS er der overført en fil fra hardware-databasen /usr/lib/udev/hwdb.d/60-autosuspend.hwdb, som indeholder oplysninger om PCI- og USB-enheder, der understøtter automatisk overgang til dvale.
• I networkd.conf er indstillingen ManageForeignRoutes tilføjet, som ved aktivering vil få systemd-networkd til at begynde at administrere alle ruter, der er indstillet af andre værktøjer.
• I .network-filer er der tilføjet en sektion "[SR-IOV]" til konfiguration af netværksenheder, der understøtter SR-IOV (Single Root I/O Virtualization).
• I systemd-networkd er der tilføjet en indstilling IPv4AcceptLocal i sektionen "[Network]" for at tillade modtagelse af pakker på netværksgrænsefladen, der kommer fra en lokal afsenders adresse.
• I systemd-networkd er muligheden for at konfigurere trafikprioriteringsdiscipliner HTB tilføjet via sektionerne [HierarchyTokenBucket] og
  [HierarchyTokenBucketClass], "pfifo" gennem [PFIFO], "GRED" gennem [GenericRandomEarlyDetection], "SFB" gennem [StochasticFairBlue], "cake"
  gennem [CAKE], "PIE" gennem [PIE], "DRR" gennem [DeficitRoundRobinScheduler] og
  [DeficitRoundRobinSchedulerClass], "BFIFO" gennem [BFIFO],
  "PFIFOHeadDrop" gennem [PFIFOHeadDrop], "PFIFOFast" gennem [PFIFOFast], "HHF"
  gennem [HeavyHitterFilter], "ETS" gennem [EnhancedTransmissionSelection],
  "QFQ" gennem [QuickFairQueueing] og [QuickFairQueueingClass].
• I systemd-networkd er der tilføjet en indstilling UseGateway i sektionen [DHCPv4] for at deaktivere anvendelse af gatewayoplysninger, der er modtaget via DHCP.
• I systemd-networkd er der tilføjet en indstilling SendVendorOption i sektionerne [DHCPv4] og [DHCPServer] for at indstille og behandle yderligere producentmuligheder.
• I systemd-networkd er der implementeret et nyt sæt muligheder i sektionen [DHCPServer] EmitPOP3/POP3, EmitSMTP/SMTP og EmitLPR/LPR for at tilføje oplysninger om POP3-, SMTP- og LPR-servere.
• I systemd-networkd er der tilføjet en indstilling VLANProtocol til sektionen [Bridge] i .netdev-filer til at vælge den anvendte VLAN-protokol.
• I systemd-networkd er der implementeret en indstilling Group i sektionen [Link] i .network-filer til at styre gruppe af links.
• Indstillingerne BlackList er omdøbt til DenyList (for at sikre bagudkompatibilitet er behandlingen af det gamle navn bevaret).
• I systemd-networkd er der tilføjet en større mængde indstillinger relateret til IPv6 og DHCPv6.
• I networkctl er kommandoen "forcerenew" tilføjet for at tvinge opdatering af alle adressebindinger (lease).
• I systemd-resolved er der i DNS-indstillingen tilføjet mulighed for at angive portnummer og værtsnavn til validering af DNS-over-TLS certifikat. Implementeringen af DNS-over-TLS har fået støtte til at kontrollere SNI.
• I systemd-resolved er muligheden for at indstille omdirigering af enkeltkomponent DNS-navne (single-label, fra et enkelt vært navn) tilføjet.
• I systemd-journald er der sikret støtte til at anvende zstd-algoritmen til komprimering af store felter i logfiler. Der er arbejdet på at beskytte mod opståen af kollisioner i hash-tabeller, der anvendes i logfiler.
• I journalctl er der tilføjet klikbare URL'er med links til dokumentationen ved udskrivning af logmeddelelser.
• I journald.conf er der tilføjet en konfiguration for Audit til at styre aktiveringen af audit under initialiseringen af systemd-journald.
• I systemd-coredump er der tilføjet mulighed for komprimering af core-dumps ved hjælp af zstd-algoritmen.
• I systemd-repart er der tilføjet en konfiguration for UUID til tildeling af UUID til den oprettede partition.
• I systemd-homed, der sørger for styring af bærbare hjemmemapper, er der tilføjet mulighed for at låse hjemmemapper op ved hjælp af FIDO2 tokens. Backend-kryptering for LUKS-partitioner har fået tilføjet understøttelse af automatisk returnering af tomme blokke i filsystemet ved afslutningen af sessionen. Der er tilføjet beskyttelse mod dobbeltkryptering af data, hvis det er fastslået, at kryptering allerede anvendes for partitionen /home i systemet.
• I /etc/crypttab er der tilføjet indstillinger: "keyfile-erase" til at slette nøglen efter brug og "try-empty-password" til at forsøge at låse partitionen op med en tom adgangskode, før brugeren bliver bedt om at indtaste en adgangskode (nyttigt til installation af krypterede billeder med tildeling af adgangskode efter den første opstart, i stedet for under installationen).
• I systemd-cryptsetup er der under opstart implementeret understøttelse af oplåsning af Microsoft BitLocker-partitioner via /etc/crypttab. Derudover er der tilføjet mulighed for at læse
  nøgler til automatisk oplåsning af partitioner fra filer i /etc/cryptsetup-keys.d/.key og /run/cryptsetup-keys.d/.key.
• Der er tilføjet en systemd-xdg-autostart-generator til at generere enhedsfiler fra .desktop-autostartsfiler.
• I "bootctl" er der tilføjet en kommando "reboot-to-firmware".
• I systemd-firstboot er der tilføjet muligheder: "—image" til at angive diskbilledet til opstart, "—kernel-command-line" til at initialisere filen /etc/kernel/cmdline, "—root-password-hashed" til at angive hash af root-adgangskoden og "—delete-root-password" til at fjerne root-adgangskoden.

Kilde: opennet.ru