Udgivelse af systemadministratoren systemd 250

Efter fem måneders udvikling er udgivelsen af systemadministrator systemd 250 blevet præsenteret. I den nye udgave er der mulighed for at gemme adgangsoplysninger i krypteret form, verificering af automatisk identificerede GPT-partitioner ved hjælp af digital signatur er implementeret, forbedret information om årsagerne til forsinkelser ved opstart af tjenester er tilføjet, muligheder for at begrænse tjenestens adgang til bestemte filsystemer og netværksinterface er tilføjet, støtte til kontrol af integriteten af partitioner ved hjælp af dm-integrity-modulet er blevet sikret, samt understøttelse til automatisk opdatering af sd-boot er blevet tilføjet.

Vigtige ændringer:

• Der er tilføjet støtte til krypterede og autentificerede adgangsoplysninger, hvilket kan være nyttigt til sikker opbevaring af fortrolige materialer, såsom SSL-nøgler og adgangskoder. Adgangsoplysningerne dekrypteres kun efter behov og i tilknytning til den lokale installation eller hardware. Data krypteres automatisk ved hjælp af symmetriske krypteringsmetoder, hvor nøglen kan placeres i filsystemet, i TPM2-chippen eller ved hjælp af en kombineret ordning. Ved opstart af tjenesten dekrypteres adgangsoplysningerne automatisk og bliver tilgængelige for tjenesten i almindelig form. For arbejde med krypterede adgangsoplysninger er værktøjet ‘systemd-creds’ blevet tilføjet, og for tjenesterne er der foreslået indstillinger LoadCredentialEncrypted og SetCredentialEncrypted.
• I sd-stub, den eksekverbare fil til EFI, som EFI-firmware bruger til at indlæse Linux-kerne, er der tilføjet støtte til indlæsning af kernen ved hjælp af LINUX_EFI_INITRD_MEDIA_GUID EFI-protokollen. Derudover er der tilføjet mulighed for at pakke adgangsoplysninger og sysext-filer i en cpio-arkiv og overføre dette arkiv til kernen sammen med initrd (yderligere filer placeres i kataloget \/.extra\/). Denne mulighed muliggør brug af et verificerbart uforanderligt initrd-miljø, der suppleres med sysexts og krypterede data til autentificering.
• Specifikationen for Discoverable Partitions er blevet væsentligt udvidet, hvilket giver midler til at identificere, montere og aktivere systempartitioner, der bruger GPT (GUID Partition Tables). I forhold til tidligere versioner er der implementeret støtte til rodpartitionen og partitionen \/usr for de fleste arkitekturer i specifikationen, inklusive platforme, der ikke bruger UEFI.

  I Discoverable Partitions er der også tilføjet støtte til partitioner, hvis integritet verificeres af dm-verity-modulet ved hjælp af PKCS#7 digitale signaturer, hvilket gør det nemmere at skabe fuldt autentificerede diskbilleder. Støtte til verifikation er integreret i forskellige værktøjer, der manipulerer diskbilleder, inklusive systemd-nspawn, systemd-sysext, systemd-dissect, RootImage-services, systemd-tmpfiles og systemd-sysusers.
• For enheder, der kører længe eller stoppes, er der udover visningen af en animeret statusindikator også mulighed for at vise statusoplysninger, der forklarer, hvad der sker med tjenesten i øjeblikket, og hvilken tjeneste systemmanageren venter på at afslutte.
• I /etc/systemd/system.conf og /etc/systemd/user.conf er parameteren DefaultOOMScoreAdjust blevet tilføjet, hvilket gør det muligt at justere tærsklen for OOM-killerens aktivering ved hukommelsesmangel, anvendelig for processer, som systemd starter for systemet og brugere. Som standard er vægten af systemtjenester højere end brugerens, dvs. ved hukommelsesmangel er det mere sandsynligt, at brugerens tjenester afsluttes før systemtjenester.
• Indstillingen RestrictFileSystems er blevet tilføjet, hvilket giver mulighed for at begrænse tjenester til bestemte typer filsystemer. For at se de tilgængelige filsystemtyper kan kommandoen «systemd-analyze filesystems» bruges. Tilsvarende er der implementeret muligheden RestrictNetworkInterfaces, der begrænser adgangen til bestemte netværksinterfaces. Implementeringen er baseret på en BPF-modul LSM, der begrænser adgangen af en gruppe processer til kernelobjekter.
• En ny konfigurationsfil /etc/integritytab og værktøjet systemd-integritysetup er tilføjet for at konfigurere dm-integrity-modulet til at overvåge dataintegriteten på sektorniveau, f.eks. for at sikre uændret krypterede data (Authenticated Encryption, som sikrer, at datablokken ikke er blevet ændret på en omgået måde). Formatet af filen /etc/integritytab er lig med filerne /etc/crypttab og /etc/veritytab, med den undtagelse at dm-integrity anvendes i stedet for dm-crypt og dm-verity.
• En ny unit-fil systemd-boot-update.service er blevet tilføjet, som ved aktivering og tilstedeværelse af den installerede bootloader sd-boot automatisk vil opdatere versionen af bootloaderen sd-boot, hvilket sikrer, at bootloaderens kode altid er opdateret. Sd-boot samles nu som standard med støtte for SBAT (UEFI Secure Boot Advanced Targeting) mekanismen, der løser problemer med tilbagekaldelse af certifikater for UEFI Secure Boot. Derudover er der i sd-boot tilføjet mulighed for parsing af bootindstillinger fra Microsoft Windows for korrekt at danne navne på Windows boot-partitioner og vise versionen af Windows.

  I sd-boot er muligheden for at definere farveskemaet ikke blevet overset under opbygningen. Under opstarten er der tilføjet support til at ændre skærmopløsningen ved at trykke på "r"-tasten. Der er tilføjet genvejstasten "f" for at gå til firmwareindstillingsgrænsefladen. Tilstanden for automatisk opstart af det system, der svarer til menu-elementet, der blev valgt ved sidste opstart, er blevet tilføjet. Derudover er muligheden for automatisk at indlæse EFI-drivere, der er placeret i kataloget /EFI/systemd/drivers/ i ESP (EFI System Partition), blevet tilføjet.

• Den nye unit-fil factory-reset.target er blevet inkluderet, som behandles i systemd-logind ligesom operationer som genstart, slukning, standby og dvale, og som anvendes til at oprette håndterere til at udføre en nulstilling til fabriksindstillinger.
• Processen systemd-resolved opretter nu en ekstra lyttende socket på adressen 127.0.0.54 ud over 127.0.0.53. Anmodninger, der kommer til adressen 127.0.0.54, omdirigeres altid til den overordnede DNS-server og behandles ikke lokalt.
• Der er nu mulighed for at bygge systemd-importd og systemd-resolved med OpenSSL-biblioteket i stedet for libgcrypt.
• Indledende støtte til LoongArch-arkitekturen, der anvendes i Loongson-processorer, er blevet tilføjet.
• I systemd-gpt-auto-generator er muligheden for automatisk konfiguration af systemdefinerede byttepartitioner, der er krypteret med LUKS2 subsystemet, blevet implementeret.
• I koden til parsing af GPT-billeder, der bruges i systemd-nspawn, systemd-dissect og lignende værktøjer, er der implementeret mulighed for at dekode billeder til andre arkitekturer, hvilket muliggør brug af systemd-nspawn til at køre billeder i emulatorer af andre arkitekturer.
• Ved inspektion af diskbilleder i systemd-dissect vises der nu oplysninger om partitionens formål, for eksempel egnethed til opstart via UEFI eller kørsel i en container.
• I filerne system-extension.d/ er der tilføjet et felt "SYSEXT_SCOPE", der gør det muligt at angive anvendelsesområde for systembilledet — "initrd", "system" eller "portable".
• Der er tilføjet et felt "PORTABLE_PREFIXES" til filen os-release, som kan bruges i bærbare billeder til at bestemme understøttede præfikser for unit-filer.
• Der er implementeret nye indstillinger i systemd-logind: HandlePowerKeyLongPress, HandleRebootKeyLongPress, HandleSuspendKeyLongPress og HandleHibernateKeyLongPress, som kan bruges til at bestemme handlinger ved at holde bestemte taster nede i mere end 5 sekunder (for eksempel kan hurtigt tryk på tasten Suspend konfigureres til at gå i dvaletilstand, mens et langt tryk kan føre til søvntilstand).
• Der er implementeret indstillinger for enheder StartupAllowedCPUs og StartupAllowedMemoryNodes, som adskiller sig fra tilsvarende indstillinger uden præfikset Startup ved, at de kun anvendes under opstart og nedlukning, hvilket gør det muligt at pålægge andre ressourcebegrænsninger under opstart.
• Der er tilføjet kontroller [Condition|Assert][Memory|CPU|IO]Pressure, der muliggør at springe eller afslutte aktiveringen af enheden med en fejl, hvis der identificeres høj belastning på hukommelse, CPU og input/output i systemet via PSI-mekanismen.
• Den standardindstillede grænse for det maksimale antal inodes er blevet forøget for partitionen /dev fra 64k til 1M, og for /tmp fra 400k til 1M.
• Der er foreslået en indstilling ExecSearchPath for tjenester, der giver mulighed for at ændre stien til at søge efter eksekverbare filer, der startes gennem indstillinger som ExecStart.
• Der er tilføjet en indstilling RuntimeRandomizedExtraSec, der gør det muligt at indføre tilfældige afvigelser i timeouten RuntimeMaxSec, der begrænser kørselstiden for enheden.
• Syntaksen for indstillingerne RuntimeDirectory, StateDirectory, CacheDirectory og LogsDirectory er udvidet, så der nu kan angives en ekstra værdi adskilt med kolon for at organisere oprettelsen af et symbolsk link til den angivne mappe for adgang fra flere stier.
• Der er foreslået indstillinger TTYRows og TTYColumns for tjenester til at angive antallet af rækker og kolonner i TTY-enheden.
• Der er tilføjet en indstilling ExitType, der muliggør ændring af logikken for bestemmelse af servicens afslutning. Som standard overvåger systemd kun afslutningen af hovedprocessen, men ved at indstille ExitType=cgroup vil systemadministratoren vente på afslutningen af den sidste proces i cgroup.
• Implementeringen af støtte til TPM2/FIDO2/PKCS11 i systemd-cryptsetup kan nu også samles som et plugin til cryptsetup, hvilket muliggør brugen af den almindelige kommando cryptsetup til at låse op for den krypterede partition.
• TPM2-behandleren i systemd-cryptsetup/systemd-cryptsetup har fået støtte til primære RSA-nøgler, udover ECC-nøgler, for at forbedre kompatibiliteten med chips, der ikke understøtter ECC.
• Der er tilføjet en token-timeout mulighed i /etc/crypttab, der giver mulighed for at definere den maksimale ventetid for tilslutning af PKCS#11/FIDO2-token, hvorefter en anmodning om indtastning af adgangskode eller gendannelsesnøgle vil blive vist.
• I systemd-timesyncd er der implementeret en indstilling SaveIntervalSec, der gør det muligt at gemme værdien af den aktuelle systemtid på disk periodisk, for eksempel til implementering af monotone ure på systemer uden RTC.
• Systemd-analyze har fået tilføjet mulighederne: ‘—image’ og ‘—root’ til at kontrollere enhedsfiler inden for et angivet billede eller rodmappe, ‘—recursive-errors’ for at tage hensyn til afhængige enheder ved fejlidentifikation, ‘—offline’ for at kontrollere enhedsfiler, der er gemt separat på disk, ‘—json’ for at udskrive i JSON-format, ‘—quiet’ for at slukke uvæsentlige meddelelser, ‘—profile’ til at tilknytte en bærbar profil. Derudover er kommandoen inspect-elf blevet tilføjet til at analysere core-filer i ELF-format og mulighed for at kontrollere enhedsfiler med et angivet enhedsnavn, uanset om dette navn stemmer overens med filnavnet.
• I systemd-networkd er understøttelsen af CAN-bus (Controller Area Network) blevet udvidet. Indstillinger er blevet tilføjet til at styre CAN-tilstande: Loopback, OneShot, PresumeAck og ClassicDataLengthCode. I [CAN]-sektionen i .network-filerne er der tilføjet mulighederne TimeQuantaNSec, PropagationSegment, PhaseBufferSegment1, PhaseBufferSegment2, SyncJumpWidth, DataTimeQuantaNSec, DataPropagationSegment, DataPhaseBufferSegment1, DataPhaseBufferSegment2 og DataSyncJumpWidth til styring af bitsynkronisering af CAN-interface.
• I systemd-networkd er der tilføjet en Label-option for DHCPv4-klienten, der gør det muligt at indstille en adresseetiket, der anvendes ved konfiguration af IPv4-adresser.
• I systemd-udevd er der implementeret støtte til specielle værdier i ‘ethtool’, som sætter bufferstørrelsen til den maksimale værdi, der understøttes af hardwaren.
• I .link-filerne til systemd-udevd kan der nu konfigureres forskellige parametre for sammenkobling af netværksadaptere og tilslutning af hardwarebehandlere (offload).
• I systemd-networkd er der som standard tilbudt nye .network-filer: 80-container-vb.network til at definere netværksbroer, der er oprettet ved hjælp af systemd-nspawn med indstillingerne "—network-bridge" eller "—network-zone"; 80-6rd-tunnel.network til at definere tunneler, der automatisk oprettes ved modtagelse af DHCP-svar med 6RD-indstillingen.
• Systemd-networkd og systemd-udevd har tilføjet støtte til IP tunneling over InfiniBand interfaces, for hvilken sektionen "[IPoIB]" er tilføjet til systemd.netdev-filerne, og i konfigurationen Kind er behandlingen af værdien "ipoib" implementeret.
• Systemd-networkd sikrer automatisk konfiguration af ruter for adresser angivet i parameteren AllowedIPs, som kan konfigureres gennem parametrene RouteTable og RouteMetric i sektionerne [WireGuard] og [WireGuardPeer].
• Systemd-networkd sikrer automatisk generering af uforanderlige MAC-adresser for batadv og bridge interfaces. For at deaktivere denne adfærd kan værdien MACAddress=none angives i .netdev-filerne.
• I .link-filer er indstillingen WakeOnLanPassword tilføjet sektionen "[Link]" til at definere adgangskoden til brug af WoL i "SecureOn"-tilstand.
• I sektionen "[CAKE]" af .network-filer er indstillingerne AutoRateIngress, CompensationMode, FlowIsolationMode, NAT, MPUBytes, PriorityQueueingPreset, FirewallMark, Wash, SplitGSO og UseRawPacketSize tilføjet for at definere parametrene for CAKE (Common Applications Kept Enhanced) netværkskøhåndteringsmekanismen.
• I sektionen "[Network]" af .network-filer er indstillingen IgnoreCarrierLoss tilføjet, hvilket tillader definition af, hvor længe man skal vente, før man reagerer på tab af bærerignal.
• I systemd-nspawn, homectl, machinectl og systemd-run er syntaksen for parameteren "—setenv" udvidet — hvis kun variabelnavnet angives (uden "="), vil værdien blive taget fra den tilsvarende miljøvariabel (for eksempel vil angivelsen "—setenv=FOO" tage værdien fra miljøvariablen $FOO og anvende den i den tilsvarende miljøvariabel i containeren).
• I systemd-nspawn er indstillingen "—suppress-sync" tilføjet for at deaktivere udførelsen af systemopkald sync()/fsync()/fdatasync() ved oprettelsen af en container (nyttigt, når hastighed er prioritet, og det ikke er vigtigt at bevare byggematerialer i tilfælde af fejl, da de kan genskabes på et tidspunkt).
• Den nye hwdb-database er blevet tilføjet og inkluderer forskellige typer signalanalyseværktøjer (multimetre, protokolanalysatorer, oscilloskoper osv.). Oplysningerne om kameraer i hwdb er blevet udvidet med et felt om kameratypen (almindeligt eller infrarødt) og placeringen af objektivet (foran eller bagpå).
• Generation af konstante navne til netværksinterfaces for netfront-enheder, der bruges i Xen, er blevet sikret.
• Analyse af core-filer med værktøjet systemd-coredump, baseret på bibliotekerne libdw/libelf, udføres nu i en separat proces, der er isoleret i et sandbox-miljø.
• Systemd-importd har fået tilføjet understøttelse af miljøvariablerne $SYSTEMD_IMPORT_BTRFS_SUBVOL, $SYSTEMD_IMPORT_BTRFS_QUOTA, $SYSTEMD_IMPORT_SYNC, som gør det muligt at deaktivere generation af Btrfs-underafsnit samt konfigurere kvoter og synkronisering af diske.
• I systemd-journald er genaktivering af COW-tilstand for arkiverede journaler blevet sikret på filsystemer, der understøtter copy-on-write-tilstand, hvilket muliggør kompression ved hjælp af Btrfs.
• I systemd-journald er der implementeret deduplicering af identiske felter i én besked, som udføres før beskeden gemmes i journalen.
• En mulighed "—show" er blevet tilføjet til shutdown-kommandoen for at vise den planlagte afslutning.

Kilde: opennet.ru