Efter fire måneders udvikling præsenteres udgivelsen af systemadministrator systemd 255. Blandt de vigtigste forbedringer er: understøttelse af eksport af lagermedier via NVMe-TCP, komponenten systemd-bsod for fuldskærm visning af fejlmeddelelser, værktøjet systemd-vmspawn til opstart af virtuelle maskiner, værktøjet varlinkctl til administration af Varlink-tjenester, værktøjet systemd-pcrlock til analyse af TPM2 PCR registre og generering af adgangsregler, modulen pam_systemd_loadkey.so til autentificering.
Nøgleændringer i den nye udgivelse:
- Komponenten 'systemd-storagetm' er blevet tilføjet, hvilket giver mulighed for automatisk at eksportere alle lokale blok-enheder ved hjælp af NVMe-TCP-driveren (NVMe over TCP), der muliggør adgang til NVMe-lagerenheder over netværket (NVM Express over Fabrics) ved hjælp af TCP-protokollen. Den nye enhed 'storage-target-mode.target', der kan aktiveres ved opstart ved at angive 'rd.systemd.unit=storage-target-mode.target' i kernelens kommandolinje, ansvarer for at give adgang til NVMe over TCP, for eksempel for fjernadgang til lagerenheden til diagnostiske formål.
- Komponenten 'systemd-bsod' er blevet tilføjet, som implementerer et alternativ til 'blue screen of death', hvilket gør det muligt at vise meddelelser om kritiske fejl (LOG_EMERG) i form af en fuldskærmsmeddelelse ved opstart.
- Værktøjet 'systemd-vmspawn' er blevet tilføjet, som repræsenterer et alternativ til værktøjet systemd-nspawn til opstart af et operativsystembillede i en virtuel maskine (systemd-nspawn er designet til at køre containere, mens systemd-vmspawn giver et lignende interface til virtual machines). I øjeblikket er der kun tilgængelig en QEMU-baseret backend til opstart af virtuelle maskiner.
- Værktøjet 'varlinkctl' er blevet tilføjet til kald og introspektion af tjenester, der bruger Varlink-protokollen.
- Værktøjet «systemd-pcrlock» er tilføjet til analyse og forudsigelse af tilstande for registerne TPM2 PCR (Platform Configuration Register) og til dannelse af de regler for adgang, der gemmes i TPM2 NV-indekset og tillader adgang til TPM2-objekter som krypteringsnøgler til disk, kun fra digitalt underskrevne komponenter, der startes under verifikation af boot-processen. Resultatet af anmodningen om PCR-tilstand i TPM2, der udleveres af UEFI-firmware loggen fra den aktuelle opstart (\/sys\/kernel\/security\/tpm0\/binary_bios_measurements) eller en lokalt gemt TPM2-log (\/run\/log\/systemd\/tpm2-measure.log) kan anvendes som input til analysen. Støtte til gemte adgangsregler er tilføjet i systemd-cryptsetup, systemd-cryptenroll og systemd-repart.
- PAM-modulet pam_systemd_loadkey.so er tilføjet, som er designet til automatisk at udtrække adgangsordet fra nøglelageret i kernen (keyring), som bruges i cryptsetup til at låse den krypterede rod-FS op, og at udstille dette adgangsord som autentificeringstoken (PAM authtok). Modulet kan eksempelvis bruges til at konfigurere automatisk oplåsning af adgang til GNOME Keyring og KDE Wallet ved aktivering af automatisk login.
- Understøttelse af dvale (hibernation) tilføjet med bevarelse af indholdet i hukommelsen i swap-filer, der gemmes i Btrfs-filsystemet.
- Enhederne er blevet tilføjet med egenskaberne MemoryPeak, MemorySwapPeak, MemorySwapCurrent og MemoryZSwapCurrent, som svarer til de tilgængelige egenskaber i cgroup v2: memory.peak, memory.swap.peak, memory.swap.current og memory.zswap.current. Oplysninger om disse egenskaber er inkluderet i uddata fra «systemctl status».
- Metoden til opstart af tjenester er blevet omlagt, så den nu bruger posix_spawn-kaldet med mulighederne CLONE_VM og CLONE_VFORK til at starte processen og anvende en separat eksekverbar fil systemd-executor til konfiguration af den startede proces. Tidligere blev processerne oprettet med funktionen fork ved at kopiere hukommelsen af kontrolprocessen i copy-on-write-tilstand, og udføre de nødvendige indstillinger (montering af navnerum og opsætning af CGroup) inden starten af mål-eksponeringen via exec-kaldet, hvilket førte til problemer på grund af manglende adgang til visse Glibc-API'er i mellemtiden mellem udførelsen af fork- og exec-funktionerne.
- Koden til overvågning af interne processer er blevet opdateret til at bruge PIDFD i stedet for PID i miljøer med en kernel, der understøtter PIDFD (PIDFD knytter sig til en specifik proces og ændres ikke, mens PID kan knyttes til en anden proces efter afslutning af den nuværende proces, der er associere med denne PID). Muligheden for at oprette scope-enheder ved hjælp af PIDFD er blevet implementeret i stedet for PID til at vælge processer.
- Støtten til adskilte kataloghierarkier (når /usr er monteret separat fra roden eller katalogerne /bin og /usr/bin, /lib og /usr/lib er adskilt) er blevet ophævet. I fremtiden er det også beslut af at stoppe støtten til cgroups v1, System V service scripts og Systemd EFI-variabler.
- Kommandoen 'systemctl switch-root' er begrænset til at blive anvendt kun i initrd. Til at ændre rod-FS i et almindeligt miljø bør 'systemctl soft-reboot' bruges.
- Parametrene SuspendMode, HybridSleepMode, HibernateStat og HybridSleepState i sektionen '[Sleep]' i systemd-sleep.conf er blevet erklæret forældede. Disse parametre ignoreres nu og kan kun antage standardværdier.
- Der er tilføjet en mulighed SurviveFinalKillSignal til enheder, som gør det muligt at ignorere det afsluttende signal SIGTERM/SIGKILL, der gives under nedlukning, hvilket kan være nyttigt for at holde enheden aktiv under en blød genstart af systemet i soft-reboot-tilstand.
- Der er tilføjet en indstilling NFTSet, som gør det muligt at bruge cgroup-id'er til at skifte logik i firewall-reglerne.
- Muligheden ConditionSecurity=measured-uki er blevet tilføjet, hvilket sikrer, at enheden kun kan startes i et system, der er indlæst fra et veriferet kernel-billede i UKI-format.
- Der er tilføjet nye genvejstaster 'B' og 'O' i systemd-boot til genstart og slukning af systemet fra boot-menuen. Der er tilføjet en indstilling 'menu-disabled' for at deaktivere visningen af boot-menuen.
- Der er tilføjet nye muligheder '—copy-from' til systemd-repart, som gør det muligt at hente beskrivelse af partitionen fra det angivne FS-billede, '—copy-source' til at angive basisbiblioteket for parameteren CopyFiles, '—make-ddi=confext', '—make-ddi=sysext' og '—make-ddi=portable' til generering af forskellige typer DDI, og '—tpm2-device-key' til at knytte drevet til en bestemt offentlig TPM2-nøgle.
- Til journalctl-værktøjet er der tilføjet værdien '+N' til parameteren '—lines' for at vise N ældste poster.
- I udevadm er der tilføjet flaget '—json' for at outputte i JSON-format.
- I værktøjet systemd-analyze, systemd-tmpfiles, systemd-sysusers, systemd-sysctl og systemd-binfmt er der tilføjet muligheden «—tldr» for kun at vise de faktiske konfigurationselementer uden mellemrum og kommentarer.
- I seccomp-subsystemet er der tilføjet understøttelse for LoongArch64-arkitekturen. Anvendelse af seccomp til filtrering af systemopkald i tjenester, der ikke kører under root-brugeren, er tilladt uden at indstille NoNewPrivileges=yes.
- I værktøjet systemd-mount er der tilføjet muligheden «—tmpfs» til at montere et nyt eksempel af ‘tmpfs’.
Kilde: opennet.ru
