Veröffentlichung des Systemmanagers systemd 253

Nach dreieinhalb Monaten Entwicklung wurde die Version des Systemmanagers systemd 253 veröffentlicht.

Zu den Änderungen in der neuen Version gehören:

• Enthalten ist das Tool ‚ukify‘, das zum Erstellen, Überprüfen und Erzeugen von Signaturen für die vereinheitlichten Kernel-Images (UKI, Unified Kernel Image) dient, die den Bootloader für das Kernel-UEFI (UEFI boot stub), das Linux-Kernel-Image und die in den Arbeitsspeicher geladene Systemumgebung initrd kombinieren, die für die initiale Konfiguration in der Phase vor der Montage des Root-Dateisystems verwendet wird. Das Tool ersetzt die Funktionalität der früheren Befehle ‚dracut --uefi‘ und ergänzt diese um die Möglichkeiten zur automatischen Berechnung von Offsets in PE-Dateien, zur Zusammenführung von initrd, zur Signierung eingebetteter Kernel-Images, zur Erstellung kombinierter Images mit sbsign, zur Heuristik zur Bestimmung des uname des Kernels, zur Überprüfung des Splash-Images und zur Hinzufügung von signierten PCR-Politiken, die mit dem Tool systemd-measure generiert wurden.
• Die Unterstützung für initrd-Umgebungen wurde hinzugefügt, die nicht auf den Speicher beschränkt sind, in denen statt tmpfs overlayfs verwendet wird. In solchen Umgebungen führt systemd nach dem Wechsel des Root-Dateisystems kein Entfernen aller Dateien in initrd durch.
• Zu den Diensten wurde der Parameter „OpenFile“ hinzugefügt, um beliebige Dateien im Dateisystem (oder Verbindungen zu Unix-Sockets) zu öffnen und zugehörige Dateideskriptoren an den gestarteten Prozess zu übergeben (z. B. wenn der Zugriff auf eine Datei für einen nicht privilegierten Dienst organisiert werden muss, ohne die Berechtigungen für die Datei zu ändern).
• In systemd-cryptenroll wurde bei der Anmeldung neuer Schlüssel die Möglichkeit implementiert, verschlüsselte Partitionen mithilfe von FIDO2-Tokens (--unlock-fido2-device) zu entsperren, ohne dass ein Passwort eingegeben werden muss. Es wird sichergestellt, dass der vom Benutzer festgelegte PIN-Code mit Salz gespeichert wird, um die Ermittlung durch Brute-Force zu erschweren.
• Es wurden die Einstellungen ReloadLimitIntervalSec und ReloadLimitBurst sowie die Kernel-Befehlszeilenoptionen (systemd.reload_limit_interval_sec und /systemd.reload_limit_burst) hinzugefügt, um die Häufigkeit der Neuladungen von Hintergrundprozessen zu begrenzen.
• Für Units wurde die Option „MemoryZSwapMax“ implementiert, um die Eigenschaft memory.zswap.max festzulegen, die die maximale Größe von zswap bestimmt.
• Für Units wurde die Option „LogFilterPatterns“ implementiert, mit der reguläre Ausdrücke zur Filterung der im Log ausgegebenen Informationen angegeben werden können (kann verwendet werden, um bestimmte Ausgaben auszuschließen oder nur bestimmte Daten zu speichern).
• In den Scope-Einheiten wurde die Unterstützung der Konfiguration «OOMPolicy» implementiert, um das Verhalten beim Versuch der Menschenverdrängung bei Speichermangel zu bestimmen (für Anmelde-Sitzungen ist der Wert OOMPolicy=continue eingestellt, damit der OOM-Killer sie nicht zwangsweise beendet).
• Ein neuer Servicetyp wurde definiert — «Type=notify-reload», der den Typ «Type=notify» um die Möglichkeit erweitert, auf die Beendigung der Signalverarbeitung für einen Neustart (SIGHUP) zu warten. Die neuen Typen wurden auf die Dienste systemd-networkd.service, systemd-udevd.service und systemd-logind übertragen.
• In udev wurde ein neues Benennungsschema für Netzwerkgeräte implementiert, dessen Unterschied darin besteht, dass für nicht an den PCI-Bus gebundene USB-Geräte nun ID_NET_NAME_PATH eingestellt wird, um eine größere Vorhersagbarkeit der Namen zu gewährleisten. Für die Variablen SYMLINK wurde der Operator ‘-=’ implementiert, der sicherstellt, dass symbolische Links unkonfiguriert bleiben, wenn zuvor eine Regel zu deren Hinzufügung definiert wurde.
• In systemd-boot wurde die Übergabe von Seed für die Pseudozufallszahlengeneratoren im Kernel und für den Festplatten-Backend überarbeitet. Es wurde die Unterstützung für das Laden des Kernels nicht nur aus dem ESP (EFI System Partition) hinzugefügt, z. B. aus der Firmware oder direkt für QEMU. Die Analyse der SMBIOS-Parameter zur Bestimmung des Starts in einer Virtualisierungsumgebung wurde sichergestellt. Ein neuer Modus ‘if-safe’ wurde implementiert, bei dem das Zertifikat für UEFI Secure Boot nur aus dem ESP geladen wird, wenn es als sicher angesehen wird (gestart in virtuellen Maschine).
• Im Dienstprogramm bootctl wurde die Generierung von Systemtoken auf allen EFI-Systemen, außer in Virtualisierungsumgebungen, implementiert. Es wurden die Befehle ‘kernel-identify’ und ‘kernel-inspect’ hinzugefügt, um den Typ des Kernel-Images und Informationen zu den Befehlszeilenoptionen und der Kernelversion anzuzeigen, ‘unlink’ zum Entfernen der Datei, die mit dem ersten Typ von Booteinträgen verbunden ist, ‘cleanup’ zum Entfernen aller Dateien im Verzeichnis ‘entry-token’ im ESP und XBOOTLDR, die nicht mit dem ersten Typ von Booteinträgen verbunden sind. Die Verarbeitung der Variablen KERNEL_INSTALL_CONF_ROOT wurde sichergestellt.
• Im Befehl ‘systemctl list-dependencies’ wurde die Verarbeitung der Optionen «—type» und «—state» sichergestellt, und im Befehl ‘systemctl kexec’ wurde die Unterstützung für Hypervisor-basierte Umgebungen wie Xen hinzugefügt.
• In den .network-Dateien gibt es im Abschnitt [DHCPv4] Unterstützung für die Optionen SocketPriority und QuickAck, RouteMetric=hoch|mittel|niedrig.
• Im systemd-repart wurden die Optionen „—include-partitions“, „—exclude-partitions“ und „—defer-partitions“ hinzugefügt, um Partitionen anhand des UUID-Typs zu filtern, was beispielsweise das Erstellen von Images ermöglicht, bei denen eine Partition auf dem Inhalt einer anderen Partition basiert. Außerdem wurde die Option „—sector-size“ für die Angabe der Sektorgröße, die beim Erstellen einer Partition verwendet wird, hinzugefügt. Die Unterstützung für die Generierung des Dateisystems erofs wurde implementiert. In der Einstellung Minimize wurde die Verarbeitung des Wertes „best“ für die Auswahl der minimal möglichen Image-Größe realisiert.
• Im systemd-journal-remote ist die Verwendung der Einstellungen MaxUse, KeepFree, MaxFileSize und MaxFiles zur Begrenzung des Speicherplatzverbrauchs erlaubt worden.
• Im systemd-cryptsetup wurde die Unterstützung für die Absendung vorzeitiger Anfragen an FIDO2-Token hinzugefügt, um deren Verfügbarkeit vor der Authentifizierung festzustellen.
• Im crypttab wurden neue Parameter tpm2-measure-bank und tpm2-measure-pcr hinzugefügt.
• Im systemd-gpt-auto-generator wird das Einbinden der Partitionen ESP und XBOOTLDR in den Modi „noexec,nosuid,nodev“ realisiert, und es wurde die Berücksichtigung von über die Kommandozeile übergebenen Kernel-Parametern rootfstype und rootflags hinzugefügt.
• Im systemd-resolved wurde die Möglichkeit geschaffen, die Resolver-Parameter über die Angabe der Optionen nameserver, domain, network.dns und network.search_domains in der Kernel-Kommandozeile zu konfigurieren.
• Im Befehl „systemd-analyze plot“ gibt es die Möglichkeit, die Ausgabe im JSON-Format durch Angabe des Schalters „—json“ zu erhalten. Zur Steuerung der Ausgabe wurden außerdem neue Optionen „—table“ und „—no-legend“ hinzugefügt.
• Im Jahr 2023 ist geplant, die Unterstützung für cgroups v1 und getrennte Hierarchien von Verzeichnissen (wenn /usr getrennt vom Root gemountet wird oder die Verzeichnisse /bin und /usr/bin, /lib und /usr/lib getrennt sind) einzustellen.

Quelle: opennet.ru