Veröffentlichung des Systemmanagers systemd 253

Nach dreieinhalb Monaten Entwicklungszeit wurde die Version 253 des Systemmanagers systemd veröffentlicht.

Zu den Änderungen in der neuen Version gehören:

• Enthalten ist das Tool ‚ukify‘, das zur Erstellung, Überprüfung und Signierung von vereinheitlichten Kernel-Images (UKI, Unified Kernel Image) dient, die den Boot-Handler für den Kernel aus UEFI (UEFI boot stub), das Linux-Kernel-Image und die in den Speicher geladene Initrd-Umgebung verwenden, die für die initiale Initialisierung vor dem Mounten des Root-Dateisystems eingesetzt wird. Das Tool ersetzt die Funktionalität, die zuvor durch den Befehl ‚dracut —uefi‘ bereitgestellt wurde, und ergänzt sie mit Möglichkeiten zur automatischen Berechnung von Offsets in PE-Dateien, zur Kombination von initrd, zur Signierung der Embedded-Kernel-Images, zur Erstellung kombinierten Images mit sbsign, zur Heuristik zur Bestimmung von uname des Kernels, zur Überprüfung des Splash-Images und zur Hinzufügung signierter PCR-Politiken, die mit dem Tool systemd-measure generiert wurden.
• Die Unterstützung für initrd-Umgebungen, die nicht auf den Speicherplatz beschränkt sind, wurde hinzugefügt, in denen anstelle von tmpfs overlayfs verwendet wird. In solchen Umgebungen führt systemd keine Löschung aller Dateien in initrd nach dem Wechsel des Root-Dateisystems durch.
• Im Dienst wurden der Parameter „OpenFile“ hinzugefügt, um beliebige Dateien im Dateisystem zu öffnen (oder sich mit Unix-Sockets zu verbinden) und die damit verbundenen Dateideskriptoren an den gestarteten Prozess zu übergeben (zum Beispiel, wenn der Zugriff auf eine Datei für einen nicht privilegierten Dienst organisiert werden muss, ohne die Zugriffsrechte auf die Datei zu ändern).
• In systemd-cryptenroll wurde bei der Registrierung neuer Schlüssel die Möglichkeit zur Entsperrung verschlüsselter Partitionen mit FIDO2-Token (—unlock-fido2-device) eingeführt, ohne dass ein Passwort eingegeben werden muss. Es ist sichergestellt, dass der vom Benutzer angegebene PIN-Code mit Salt gespeichert wird, um das Erraten durch Brute-Force zu erschweren.
• Die Einstellungen ReloadLimitIntervalSec und ReloadLimitBurst sowie die Kernel-Optionen (systemd.reload_limit_interval_sec und /systemd.reload_limit_burst) wurden hinzugefügt, um die Häufigkeit der Wiederstartversuche von Hintergrundprozessen zu begrenzen.
• Für Units wurde die Option „MemoryZSwapMax“ implementiert, um die Eigenschaft memory.zswap.max zu konfigurieren, die die maximale Größe von zswap bestimmt.
• Für Units wurde die Option «LogFilterPatterns» implementiert, die es ermöglicht, reguläre Ausdrücke zur Filterung der im Log ausgegebenen Informationen festzulegen (diese kann verwendet werden, um bestimmte Ausgaben auszuschließen oder nur bestimmte Daten zu speichern).
• In den Scope-Units wurde die Unterstützung für die Konfiguration «OOMPolicy» implementiert, um das Verhalten beim Versuchen des Ausstoßes bei Speichermangel zu bestimmen (für Eingabesitzungen ist der Wert OOMPolicy=continue gesetzt, damit der OOM-Killer sie nicht zwangsweise beendet).
• Ein neuer Servicetyp wurde definiert — «Type=notify-reload», der den Typ «Type=notify» um die Möglichkeit erweitert, auf den Abschluss der Verarbeitung des Neustartsignals (SIGHUP) zu warten. Die Dienste systemd-networkd.service, systemd-udevd.service und systemd-logind wurden auf den neuen Typ umgestellt.
• In udev wurde ein neues Benennungsschema für Netzgeräte eingeführt, dessen Unterschiede darin bestehen, dass für nicht an den PCI-Bus gebundene USB-Geräte nun ID_NET_NAME_PATH gesetzt wird, um eine größere Vorhersehbarkeit der Namen zu gewährleisten. Für die Variablen SYMLINK wurde der Operator ‘-=’ implementiert, der symbolische Links unkonfiguriert lässt, wenn zuvor eine Regel zu deren Hinzufügung definiert wurde.
• Im systemd-boot wurde die Übertragung des Seeds für die Pseudozufallszahlengeneratoren im Kernel und für das Disk-Backend überarbeitet. Es wurde die Unterstützung hinzugefügt, das Kernel nicht nur aus der ESP (EFI System Partition) zu laden, beispielsweise aus der Firmware oder direkt für QEMU. Zudem erfolgt die Analyse der SMBIOS-Parameter zur Erkennung des Starts in einer Virtualisierungsumgebung. Ein neuer ‘if-safe’-Modus wurde implementiert, bei dem das Zertifikat für UEFI Secure Boot aus der ESP nur geladen wird, wenn es als sicher angesehen wird (gestart in virtuellen Maschine).
• Im Tool bootctl wurde die Generierung von System-Token auf allen EFI-Systemen, außer in Virtualisierungsumgebungen, realisiert. Es wurden die Befehle ‘kernel-identify’ und ‘kernel-inspect’ hinzugefügt, um den Typ des Kernel-Images sowie Informationen über die Befehlszeilenoptionen und die Kernel-Version anzuzeigen, ‘unlink’ zum Entfernen von Dateien, die mit dem ersten Typ der Booteinträge verbunden sind, und ‘cleanup’ zum Entfernen aller Dateien aus dem Verzeichnis ‘entry-token’ in der ESP und XBOOTLDR, die nicht mit dem ersten Typ der Booteinträge verbunden sind. Die Verarbeitung der Variable KERNEL_INSTALL_CONF_ROOT wurde sichergestellt.
• Im Befehl ‘systemctl list-dependencies’ wird die Verarbeitung der Optionen ‘—type’ und ‘—state’ unterstützt, und im Befehl ‘systemctl kexec’ wurde die Unterstützung für Hypervisor-basierte Umgebungen von Xen hinzugefügt.
• In den .network-Dateien wurde im Abschnitt [DHCPv4] die Unterstützung für die Optionen SocketPriority und QuickAck, RouteMetric=high|medium|low hinzugefügt.
• In systemd-repart wurden die Optionen "—include-partitions", "—exclude-partitions" und "—defer-partitions" zum Filtern von Partitionen nach dem Typ UUID hinzugefügt, was es beispielsweise ermöglicht, Images zu erstellen, bei denen eine Partition auf dem Inhalt einer anderen Partition basiert. Außerdem wurde die Option "—sector-size" eingeführt, um die Sektorgröße anzugeben, die bei der Erstellung einer Partition verwendet wird. Unterstützung für die Generierung des Dateisystems erofs wurde hinzugefügt. Bei der Einstellung Minimize wurde die Verarbeitung des Werts "best" implementiert, um die minimal mögliche Bildgröße auszuwählen.
• In systemd-journal-remote wurde die Verwendung der Einstellungen MaxUse, KeepFree, MaxFileSize und MaxFiles zur Begrenzung des Speicherplatzverbrauchs erlaubt.
• In systemd-cryptsetup wurde die Unterstützung für das Senden von präventiven Abfragen an FIDO2-Token hinzugefügt, um deren Verfügbarkeit vor der Authentifizierung zu bestimmen.
• In crypttab wurden die neuen Parameter tpm2-measure-bank und tpm2-measure-pcr hinzugefügt.
• In systemd-gpt-auto-generator wurde das Einhängen der ESP- und XBOOTLDR-Partitionen im Modus „noexec,nosuid,nodev“ implementiert, und es wurde auch die Berücksichtigung der über die Befehlszeile übergebenen Kernel-Parameter rootfstype und rootflags hinzugefügt.
• In systemd-resolved gibt es die Möglichkeit, die Resolver-Einstellungen über die Optionen nameserver, domain, network.dns und network.search_domains in der Kernel-Befehlszeile zu konfigurieren.
• Mit dem Befehl „systemd-analyze plot“ kann die Ausgabe jetzt im JSON-Format erfolgen, wenn das Flag „—json“ angegeben wird. Zudem wurden neue Optionen „—table“ und „—no-legend“ hinzugefügt, um die Ausgabe zu steuern.
• Im Jahr 2023 wird die Unterstützung von cgroups v1 und getrennten Verzeichnis-Hierarchien eingestellt (wenn /usr separiert von Root oder die Verzeichnisse /bin und /usr/bin, /lib und /usr/lib getrennt gemountet werden).

Quelle: opennet.ru