ProHoster > Blog > Internettet Nyheder > Udgivelsen af systemadministrator systemd 248

Udgivelsen af systemadministrator systemd 248

Efter fire måneders udvikling er version 248 af systemmanageren systemd blevet udgivet. Den nye version giver støtte til billeder til udvidelse af systemkatalogerne, konfigurationsfilen /etc/veritytab, værktøjet systemd-cryptenroll, oplåsning af LUKS2 ved hjælp af TPM2-chips og FIDO2-token, start af enheder i et isoleret IPC-idrum, B.A.T.M.A.N.-protokollen til mesh-netværk og nftables-backend til systemd-nspawn. systemd-oomd er blevet stabiliseret.

Vigtige ændringer:

  • Konceptet med systemudvidelsesbilleder (System Extension) er blevet implementeret, hvilket kan bruges til at udvide hierarkiet i katalogerne /usr/ og /opt/ samt tilføje yderligere filer under kørsel, selv når de nævnte kataloger er monteret i skrivebeskyttet tilstand. Når et systemudvidelsesbillede tilsluttes, lægges dets indhold over hierarkiet i /usr/ og /opt/ ved hjælp af OverlayFS.

    Der er foreslået et nyt værktøj, systemd-sysext, til tilslutning, frakobling, visning og opdatering af systemudvidelsesbilleder. For automatisk tilslutning af allerede installerede billeder under opstart er der tilføjet en service, systemd-sysext.service. Parameteren "SYSEXT_LEVEL=" er blevet tilføjet til filen os-release for at bestemme niveauet for de understøttede systemudvidelser.

  • Der er implementeret en konfiguration for ExtensionImages for enheder, som kan bruges til at binde systemudvidelsesbilleder til navnerummet for FS af individuelle isolerede tjenester.
  • Der er tilføjet en konfigurationsfil /etc/veritytab til at konfigurere verifikation af data på blokniveau ved hjælp af dm-verity-modulet. Filformatet svarer til /etc/crypttab - "partition_navn data_enhed hash_enhed rod_hash valgmuligheder". For at konfigurere dm-verity's opførsel for rod-enheden er der tilføjet en kernel-kommando parameter systemd.verity.root_options.
  • I systemd-cryptsetup er muligheden for at udtrække URI-token PKCS#11 og den krypterede nøgle fra LUKS2-metadata-overskriften i JSON-format blevet tilføjet, hvilket gør det muligt at integrere oplysninger om åbning af det krypterede drev i selve drevet uden brug af eksterne filer.
  • I systemd-cryptsetup er der blevet tilføjet støtte til oplåsning af krypterede LUKS2-partitioner ved hjælp af TPM2-chips og FIDO2-token, ud over de tidligere understøttede PKCS#11-token. Indlæsning af libfido2 udføres via dlopen(), hvilket betyder, at tilstedeværelsen kontrolleres dynamisk og ikke som en hårdt koblet afhængighed.
  • I /etc/crypttab for systemd-cryptsetup, new options 'no-write-workqueue' and 'no-read-workqueue' have been added to enable synchronous processing of input/output related to encryption and decryption.
  • The systemd-repart utility has added the ability to activate encrypted partitions using TPM2 chips, for example, to create an encrypted partition /var at first boot.
  • A new utility systemd-cryptenroll has been added for binding TPM2, FIDO2, and PKCS#11 tokens to LUKS partitions, as well as for detaching and viewing tokens, binding backup keys, and setting a password for access.
  • A new parameter PrivateIPC has been added, allowing configuration in the unit file to start processes in an isolated IPC space with its own separate identifiers and message queue. To connect the unit to an already created IPC identifier space, the option IPCNamespacePath is provided.
  • Settings ExecPaths and NoExecPaths have been added, allowing the noexec flag to be applied to specific parts of the file system.
  • Support for the mesh protocol B.A.T.M.A.N. ('Better Approach To Mobile Adhoc Networking') has been added to systemd-networkd, enabling the creation of decentralized networks where each node is connected through neighboring nodes. The section [BatmanAdvanced] in .netdev, the parameter BatmanAdvanced in .network files, and the new device type 'batadv' are offered for configuration.
  • The implementation of the early response mechanism for memory shortages in the systemd-oomd has been stabilized. The option DefaultMemoryPressureDurationSec has been added to configure the waiting time for resource release before affecting the unit. Systemd-oomd uses the kernel PSI (Pressure Stall Information) subsystem and allows for the identification of onset delays due to resource shortages and selectively terminate resource-intensive processes at a stage when the system is not yet in critical condition and has not started aggressively trimming the cache or swapping data.
  • A kernel command line parameter — 'root=tmpfs' has been added, allowing the root partition to be mounted in temporary storage located in RAM using Tmpfs.
  • The parameter in /etc/crypttab, which defines the key file, can now point to sockets of type AF_UNIX and SOCK_STREAM. In this case, the key must be provided upon connecting to the socket, which can be used, for example, to create services that dynamically deliver keys.
  • Et backup værtsnavn (fallback) til brug af system manager og systemd-hostnamed kan nu angives på to måder: via parameteren DEFAULT_HOSTNAME i os-release og via miljøvariablen $SYSTEMD_DEFAULT_HOSTNAME. Systemd-hostnamed understøtter også behandling af 'localhost' i værtens navn samt muligheden for at eksportere værtens navn samt egenskaberne 'HardwareVendor' og 'HardwareModel' via DBus.
  • Blokken med miljøvariabler kan nu konfigureres via den nye mulighed ManagerEnvironment i system.conf eller user.conf, og ikke kun via kernekommandoen og indstillingerne for unit-filer.
  • Ved kompilering er der givet mulighed for at bruge systemopkaldet fexecve() til at starte processer i stedet for execve() for at reducere forsinkelsen mellem kontrol af sikkerhedskonteksten og dens anvendelse.
  • Der er tilføjet nye betingede operationer ConditionSecurity=tpm2 og ConditionCPUFeature til unit-filer for at kontrollere tilstedeværelsen af TPM2-enheder og bestemte CPU-funktionaliteter (for eksempel kan ConditionCPUFeature=rdrand bruges til at kontrollere, om processoren understøtter RDRAND-operationen).
  • Der er implementeret automatisk generation af systemopkaldstabeller for seccomp-filtre for tilgængelige kerner.
  • Muligheden for at montere nye bind mounts i eksisterende monteringsnavne (mount namespace) for tjenester uden at genstarte tjenesterne er blevet tilføjet. Montering udføres med kommandoerne 'systemctl bind ...' og 'systemctl mount-image ...'.
  • Der er tilføjet støtte til angivelse af stier i formatet 'truncate:' i indstillingerne StandardOutput og StandardError for at rense før brug.
  • I sd-bus er der tilføjet mulighed for at etablere forbindelse med en session for en angivet bruger inden for en lokal container. For eksempel 'systemctl --user -M lennart@ start quux'.
  • Der er implementeret parametre i sektionen [Link] i systemd.link-filerne:
    • Promiscuous — tillader at sætte enheden i 'promiscuous' tilstand for at behandle alle netværkspakker, herunder de, der ikke er adresseret til det aktuelle system;
    • TransmitQueues og ReceiveQueues til at konfigurere antallet af TX- og RX-køer;
    • TransmitQueueLength til at konfigurere størrelsen af TX-køen; GenericSegmentOffloadMaxBytes og GenericSegmentOffloadMaxSegment til at angive grænser for anvendelsen af GRO-teknologien (Generic Receive Offload).
  • Der er tilføjet nye indstillinger i systemd.network-filer:
    • [Network] RouteTable til at vælge routetabellen;
    • [RoutingPolicyRule] Type til typen af routning ('blackhole', 'unreachable', 'prohibit');
    • [IPv6AcceptRA] RouteDenyList og RouteAllowList til lister over tilladte og afviste ruteannonser;
    • [DHCPv6] UseAddres til at ignorere den tildelte DHCP-adresse;
    • [DHCPv6PrefixDelegation] ManageTemporaryAddress;
    • ActivationPolicy til at bestemme politikken for aktiviteten af grænsefladen (altid være i UP eller DOWN tilstand eller tillade brugeren at ændre tilstande med kommandoen 'ip link set dev').
  • Der er tilføjet indstillinger i systemd.netdev filerne [VLAN] Protocol, IngressQOSMaps, EgressQOSMaps og [MACVLAN] BroadcastMulticastQueueLength til konfiguration af behandling af VLAN-pakker.
  • Monteringen af kataloget /dev/ i noexec-tilstand er blevet stoppet, da det medfører konflikt ved brug af udførelsesflaget med filer i /dev/sgx. For at returnere den tidligere adfærd kan indstillingen NoExecPaths=/dev anvendes.
  • Filadgangsrettighederne for /dev/vsock er ændret til 0o666, og filerne /dev/vhost-vsock og /dev/vhost-net er flyttet til gruppen. kvm.
  • ID-basen for hardware er blevet udvidet med USB-enheder til læsning af fingeraftryk, som korrekt understøtter overgangen til dvaletilstand.
  • systemd-resolved har fået tilføjet support til at udlevere svar på DNSSEC-forespørgsler gennem stub-resolveren. Lokale klienter kan udføre DNSSEC-validering selvstændigt, mens eksterne proxies videreføres uændret til den primære DNS-server.
  • Der er tilføjet en indstilling CacheFromLocalhost i resolved.conf, som gør, at systemd-resolved vil bruge caching selv for forespørgsler til DNS-serveren på adressen 127.0.0.1 (som standard er caching af sådanne forespørgsler deaktiveret for at undgå dobbelt caching).
  • systemd-resolved har fået tilføjet support for RFC-5001 NSID i den lokale DNS-resolver, hvilket gør det muligt for klienter at skelne mellem interaktion med den lokale resolver og en anden. serveren DNS.
  • I værktøjet resolvectl er der implementeret mulighed for at outputte oplysninger om datakildens oprindelse (lokal cache, netværksforespørgsel, svar fra lokal behandler) og anvendelse af kryptering ved dataoverførsel. For at styre navneopslagningsprocessen foreslås indstillingerne —cache, —synthesize, —network, —zone, —trust-anchor og —validate.
  • systemd-nspawn har fået tilføjet support til konfiguration af firewall ved hjælp af nftables ud over den eksisterende support for iptables. I indstillingen IPMasquerade i systemd-networkd er der tilføjet mulighed for at bruge en backend baseret på nftables.
  • systemd-localed har fået tilføjet support til at kalde locale-gen for at generere manglende lokaliteter.
  • I forskellige værktøjer er der tilføjet mulighederne —pager/—no-pager/—json= for at tænde/slukke for pagineringsvisning og output i JSON-format. Muligheden for at angive antallet af farver, der anvendes i terminalen, er blevet tilføjet via miljøvariablen SYSTEMD_COLORS (‘16’ eller ‘256’).
  • Bygning med adskilte kataloghierarkier (opdeling af / og /usr) og support for cgroup v1 er blevet erklæret forældet.
  • Den primære gren i Git er blevet omdøbt fra 'master' til 'main'.

Kilde: opennet.ru

Køb pålidelig webhosting med DDoS-beskyttelse, VPS VDS-servere 🔥 Køb pålidelig webhosting med DDoS-beskyttelse, VPS VDS-servere | ProHoster