Udgivelse af systemadministratoren systemd 253

Efter tre og en halv måneds udvikling er systemadministratorens version systemd 253 blevet præsenteret.

Blandt ændringerne i den nye udgave:

• Den inkluderer værktøjet ‘ukify’, der er designet til at bygge, kontrollere og generere underskrifter til de ensartede kernelbilleder (UKI, Unified Kernel Image), som kombinerer en bootloader til at indlæse kernen fra UEFI (UEFI boot stub), Linux-kernen og det initrd-systemmiljø, der bruges til den indledende initialisering før montering af rod-FS. Værktøjet erstatter funktionaliteten, der tidligere blev leveret af kommandoen ‘dracut —uefi’, og supplerer den med muligheder for automatisk beregning af forsinkelser i PE-filer, sammenlægning af initrd, indlejring af kernebilleder, oprettelse af sammenlagte billeder med sbsign, heuristik til at bestemme uname for kernen, kontrol af billede med splash og tilføjelse af signerede PCR-politikker genereret af værktøjet systemd-measure.
• Der er tilføjet support til initrd-miljøer, der ikke er begrænset af hukommelsesplacering, hvor overlayfs bruges i stedet for tmpfs. For sådanne miljøer fjerner systemd ikke alle filer i initrd efter skiftet til rod-FS.
• Der er tilføjet parameteren «OpenFile» til tjenesterne for at åbne vilkårlige filer i FS (eller oprette forbindelse til Unix-sokler) og videregive de tilknyttede filhandles til den startede proces (for eksempel når der skal organiseres adgang til en fil for en ikke-privilegeret tjeneste uden at ændre adgangsrettighederne til filen).
• I systemd-cryptenroll er der ved registrering af nye nøgler implementeret muligheden for at låse op for krypterede partitioner ved hjælp af FIDO2 tokens (—unlock-fido2-device) uden behov for at indtaste et kodeord. Sørger for lagring med salt af den brugerdefinerede PIN-kode for at gøre det sværere at bestemme ved hjælp af brute force.
• Der er tilføjet indstillingerne ReloadLimitIntervalSec og ReloadLimitBurst samt kernel kommandoer (systemd.reload_limit_interval_sec og /systemd.reload_limit_burst) for at begrænse intensiteten af genstart af baggrundsprocesser.
• For enheder er der implementeret en option «MemoryZSwapMax» til at indstille egenskaben memory.zswap.max, der bestemmer den maksimale størrelse for zswap.
• For enheder er der implementeret en option «LogFilterPatterns», der giver mulighed for at angive regulære udtryk til filtrering af den information, der vises i loggen (kan bruges til at udelukke bestemt output eller kun gemme bestemte data).
• I scope-enhederne er der implementeret understøttelse af at indstille »OOMPolicy« for at bestemme adfærden ved udvisning i tilfælde af hukommelsesmangel (for login-sessioner er værdien OOMPolicy=continue, så OOM killer ikke tvangsafslutter dem).
• Der er defineret en ny type tjenester — »Type=notify-reload«, som udvider typen »Type=notify« med muligheden for at vente på, at signalet til genstart (SIGHUP) behandler færdigt. Tjenesterne systemd-networkd.service, systemd-udevd.service og systemd-logind er blevet konverteret til den nye type.
• Der er implementeret et nyt navneskema for netværksenheder i udev, der adskiller sig ved, at der nu tildeles ID_NET_NAME_PATH til USB-enheder, der ikke er bundet til PCI-bussen, for at sikre en mere forudsigelig navngivning. For variablen SYMLINK er der implementeret operatøren ‘-=’, som efterlader symbolske links uindstillede, hvis der tidligere er blevet defineret en regel for deres tilføjelse.
• I systemd-boot er transmissionen af frø til generatorer af pseudorandom tal i kernen og for diskbackend blevet redesignede. Der er tilføjet understøttelse af at indlæse kernen ikke kun fra ESP-partitionen (EFI System Partition), men også fra firmware eller direkte til QEMU. Der er sikret parsing af SMBIOS-parametre for at bestemme opstart i et virtualiseringsmiljø. Implementeret er en ny tilstand ‘if-safe’, hvor certifikatet til UEFI Secure Boot kun indlæses fra ESP, hvis det anses for sikkert (starter i virtuelle maskiner).
• I bootctl-værktøjet er der implementeret generering af systemtokens på alle EFI-systemer undtagen virtualiseringsmiljøer. Der er tilføjet kommandoer ‘kernel-identify’ og ‘kernel-inspect’ til at vise typen af kerneimage og oplysninger om kommandolinjeindstillinger samt kernev.version, ‘unlink’ til at fjerne filen relateret til den første type opstartsposter, ‘cleanup’ til at fjerne alle filer fra kataloget ‘entry-token’ i ESP og XBOOTLDR, der ikke er relateret til den første type opstartsposter. Der er sikret behandling af variablen KERNEL_INSTALL_CONF_ROOT.
• I kommandoen ‘systemctl list-dependencies’ er der sikret behandling af indstillingerne «–type» og «–state», og i kommandoen ‘systemctl kexec’ er der tilføjet understøttelse af Xen-baserede miljøer.
• I .network-filer i sektionen [DHCPv4] er der nu understøttelse af indstillingerne SocketPriority og QuickAck, RouteMetric=high|medium|low.
• I systemd-repart er der tilføjet mulighederne «—include-partitions», «—exclude-partitions» og «—defer-partitions» for at filtrere partitioner efter UUID-type, hvilket eksempelvis gør det muligt at samle billeder, hvor en partition er baseret på indholdet af en anden partition. Der er også tilføjet en mulighed «—sector-size» for at angive sektorstørrelsen, der anvendes ved oprettelse af partitionen. Støtten til generation af erofs-filsystemet er blevet tilføjet. I indstillingen Minimize er der implementeret behandling af værdien «best» for at vælge den mindst mulige billedstørrelse.
• I systemd-journal-remote er brugen af indstillingerne MaxUse, KeepFree, MaxFileSize og MaxFiles tilladt for at begrænse forbruget af diskplads.
• I systemd-cryptsetup er der tilføjet støtte til at sende proaktive forespørgsler til FIDO2-token til at bestemme deres tilstedeværelse før autentificering.
• I crypttab er der tilføjet nye parametre tpm2-measure-bank og tpm2-measure-pcr.
• I systemd-gpt-auto-generator er der implementeret montering af ESP- og XBOOTLDR-partitioner i tilstandene «noexec,nosuid,nodev», og der er også tilføjet hensyntagen til de parametre, der sendes til kernekonstruktionen via kommandolinjen, rootfstype og rootflags.
• I systemd-resolved er det muligt at konfigurere resolver-parametre ved at angive indstillingerne nameserver, domain, network.dns og network.search_domains i kernekonstruktionen.
• I kommandoen «systemd-analyze plot» er det nu muligt at få uddata i JSON-format ved at angive flaget «—json». Der er også tilføjet nye muligheder «—table» og «—no-legend» til at styre output.
• I 2023 planlægges det at stoppe støtten til cgroups v1 og separate kataloghierarkier (når /usr er monteret separat fra roden eller katalogerne /bin og /usr/bin, /lib og /usr/lib er adskilt).

Kilde: opennet.ru