Nach viermonatiger Entwicklung wurde die Version 255 des Systemmanagers systemd veröffentlicht. Zu den wichtigsten Verbesserungen gehören: Unterstützung für den Export von Speichern über NVMe-TCP, die Komponente systemd-bsod für die Vollbildanzeige von Fehlermeldungen, das Tool systemd-vmspawn zum Starten virtueller Maschinen, das Tool varlinkctl zur Verwaltung von Varlink-Diensten, das Tool systemd-pcrlock zur Analyse der TPM2 PCR-Register und zur Generierung von Zugriffsrichtlinien, sowie das Authentifizierungsmodul pam_systemd_loadkey.so.
Wesentliche Änderungen in der neuen Version:
- Die Komponente „systemd-storagetm“ wurde hinzugefügt, um die automatische Exportierung aller lokalen Blockgeräte über den NVMe-TCP-Treiber (NVMe über TCP) zu ermöglichen, der den Netzwerkzugriff auf NVMe-Speicher (NVM Express über Fabrics) unter Verwendung des TCP-Protokolls erlaubt. Der Zugriff im Modus NVMe über TCP wird durch die neue Einheit „storage-target-mode.target“ ermöglicht, die beim Booten aktiviert werden kann, indem in der Kernel-Befehlszeile „rd.systemd.unit=storage-target-mode.target“ angegeben wird, z. B. bei Bedarf für den Remote-Zugriff auf den Speicher zu Diagnosezwecken.
- Ein neuer Komponenten «systemd-bsod» wurde hinzugefügt, der eine ähnliche Funktion wie der „Blaue Bildschirm des Todes“ bietet, um während des Bootvorgangs kritische Fehlernachrichten (LOG_EMERG) in Form einer Vollbildbenachrichtigung anzuzeigen.
- Das Dienstprogramm «systemd-vmspawn» wurde hinzugefügt, das eine Alternative zum Dienstprogramm systemd-nspawn darstellt, um ein Betriebssystem-Image in einer virtuellen Maschine zu starten (das Dienstprogramm systemd-nspawn ist für das Starten von Containern vorgesehen, während systemd-vmspawn eine ähnliche Schnittstelle bietet für virtuellen Maschinen). Derzeit ist nur das QEMU-basierte Backend für das Starten von virtuellen Maschinen verfügbar.
- Das Dienstprogramm «varlinkctl» wurde hinzugefügt, um Dienste, die das Varlink-Protokoll verwenden, aufzurufen und zu inspizieren.
- Das Dienstprogramm „systemd-pcrlock“ wurde hinzugefügt, um den Zustand der TPM2 PCR (Platform Configuration Register) zu analysieren und vorherzusagen sowie die im TPM2 NV-Index gespeicherten Zugriffsregeln zu erstellen, die den Zugriff auf TPM2-Objekte wie Festplattenverschlüsselungsschlüssel nur von signierten, vertrauenswürdigen Komponenten zu erlauben, die im Rahmen des verifizierten Bootvorgangs geladen werden. Als Eingabedaten für die Analyse kann das Ergebnis einer Abfrage des PCR-Stands in TPM2 verwendet werden, das vom UEFI-Firmware-Protokoll der aktuellen Boot-Sitzung ausgegeben wird (/sys/kernel/security/tpm0/binary_bios_measurements) oder ein lokal gespeichertes TPM2-Protokoll (/run/log/systemd/tpm2-measure.log). Unterstützung für die gespeicherten Zugriffsregeln wurde in systemd-cryptsetup, systemd-cryptenroll und systemd-repart hinzugefügt.
- Das PAM-Modul pam_systemd_loadkey.so wurde hinzugefügt, das für das automatische Abrufen des Passworts aus dem Schlüsselring im Kernel (keyring) vorgesehen ist, das in cryptsetup zum Entsperren des verschlüsselten Root-Dateisystems verwendet wird, und um dieses Passwort als Authentifizierungstoken (PAM authtok) bereitzustellen. Das Modul kann beispielsweise verwendet werden, um die automatische Entsperrung des Zugriffs auf den GNOME Keyring und die KDE Wallet bei der automatischen Anmeldung einzurichten.
- Unterstützung für den Übergang in den Ruhezustand (Hibernation) mit dem Speichern von Speicherinhalten in Swap-Dateien, die im Btrfs-Dateisystem gespeichert werden, wurde hinzugefügt.
- In die Einheiten wurden die Eigenschaften MemoryPeak, MemorySwapPeak, MemorySwapCurrent und MemoryZSwapCurrent hinzugefügt, die den über cgroup v2 verfügbaren Eigenschaften memory.peak, memory.swap.peak, memory.swap.current und memory.zswap.current entsprechen. Informationen zu diesen Eigenschaften sind in der Ausgabe von „systemctl status“ enthalten.
- Die Methode zum Starten von Diensten wurde überarbeitet und verwendet jetzt den Aufruf posix_spawn mit den Optionen CLONE_VM und CLONE_VFORK, um Prozesse zu starten, sowie eine separate ausführbare Datei systemd-executor für die Konfiguration des gestarteten Prozesses. Zuvor wurden Prozesse durch die Funktion fork mit Kopieren des Speicherinhalts des Steuerprozesses im Modus Copy-on-Write und Durchführung der erforderlichen Einstellungen (Einbinden von Namensräumen und Setzen von CGroup) vor dem Start der Zielausführungsdatei über den Aufruf exec abgezweigt, was zu Problemen führte, da der Zugriff auf einige Glibc-APIs in der Phase zwischen den Aufrufen fork und exec nicht möglich war.
- Der Code zur Verfolgung interner Prozesse wurde auf die Verwendung von PIDFD anstelle von PID in Umgebungen umgestellt, die PIDFD unterstützenden Kernel verwenden (PIDFD ist an einen bestimmten Prozess gebunden und ändert sich nicht, während PID an einen anderen Prozess gebunden werden kann, nachdem der aktuelle Prozess, der mit diesem PID assoziiert ist, beendet wurde). Es wurde die Möglichkeit implementiert, Scope-Einheiten zu erstellen, die PIDFD anstelle von PID zur Auswahl von Prozessen verwenden.
- Die Unterstützung für getrennte Verzeichnishierarchien (wenn /usr separat vom Root oder die Verzeichnisse /bin und /usr/bin, /lib und /usr/lib getrennt gemountet sind) wurde eingestellt. In Zukunft wird auch die Unterstützung für cgroups v1, System V-Dienste und SystemdOptions EFI-Variablen eingestellt.
- Der Befehl „systemctl switch-root“ ist auf die Anwendung nur im initrd beschränkt. Um das Root-Dateisystem in einer normalen Umgebung auszutauschen, sollte „systemctl soft-reboot“ verwendet werden.
- Die Parameter SuspendMode, HybridSleepMode, HibernateStat und HybridSleepState im Abschnitt „[Sleep]“ der Datei systemd-sleep.conf sind als veraltet erklärt worden. Diese Parameter werden jetzt ignoriert und können nur die Standardwerte annehmen.
- Die Möglichkeit SurviveFinalKillSignal wurde zu den Einheiten hinzugefügt, um das endgültige SIGTERM/SIGKILL-Signal beim Herunterfahren zu ignorieren. Dies kann nützlich sein, um die Einheit während eines sanften Neustarts des Systems im soft-reboot-Modus aktiv zu lassen.
- Die Einstellung NFTSet wurde hinzugefügt, die es ermöglicht, cgroup-IDs für den Wechsel der Logik in den Firewall-Regeln zu verwenden.
- Die Option ConditionSecurity=measured-uki wurde hinzugefügt, um sicherzustellen, dass die Einheit nur in einem System gestartet werden kann, das mit einem verifizierten Kernel-Image im UKI-Format geladen wurde.
- Neue Hotkeys "B" und "O" wurden zu systemd-boot hinzugefügt, um das System aus dem Boot-Menü neu zu starten oder auszuschalten. Eine Einstellung "menu-disabled" wurde hinzugefügt, um die Anzeige des Boot-Menüs zu deaktivieren.
- Neue Optionen "—copy-from" zur Beschaffung von Partitionsbeschreibungen aus einem angegebenen FS-Image, "—copy-source" zur Angabe des Basisverzeichnisses für den Parameter CopyFiles, "—make-ddi=confext", "—make-ddi=sysext" und "—make-ddi=portable" zur Generierung unterschiedlicher DDI-Typen wurden zur systemd-repart-Utility hinzugefügt sowie "—tpm2-device-key" zur Bindung der Festplatte an einen bestimmten öffentlichen TPM2-Schlüssel.
- In das Dienstprogramm journalctl wurde der Parameter „—lines“ mit dem Wert „+N“ hinzugefügt, um die N ältesten Einträge anzuzeigen.
- In udevadm wurde das Flag „—json“ für die Ausgabe im JSON-Format hinzugefügt.
- Bei den Dienstprogrammen systemd-analyze, systemd-tmpfiles, systemd-sysusers, systemd-sysctl und systemd-binfmt wurde die Option „—tldr“ hinzugefügt, um nur die tatsächlichen Konfigurationsparameter ohne Leerzeichen und Kommentare anzuzeigen.
- Im seccomp-Subsystem wurde die Unterstützung der Architektur LoongArch64 hinzugefügt. Das Verwenden von seccomp zur Filterung von Systemaufrufen in Diensten, die nicht unter dem Benutzer root ausgeführt werden, ist erlaubt, ohne die Einstellung NoNewPrivileges=yes zu aktivieren.
- Im Dienstprogramm systemd-mount wurde die Option „—tmpfs“ zum Mounten eines neuen „tmpfs“-Instanz hinzugefügt.
Quelle: opennet.ru
