Release des Systemmanagers systemd 255

Nach viermonatiger Entwicklung wurde die Version des Systemmanagers systemd 255 veröffentlicht. Zu den wichtigsten Verbesserungen gehören: Unterstützung für den Export von Speichermedien über NVMe-TCP, das Systemd-bsod-Modul zur vollbildartigen Ausgabe von Fehlermeldungen, das Dienstprogramm systemd-vmspawn zum Starten virtueller Maschinen, das Dienstprogramm varlinkctl zur Verwaltung von Varlink-Diensten, das Dienstprogramm systemd-pcrlock zur Analyse der TPM2-PCR-Register und zur Erstellung von Zugriffsregeln sowie das Authentifizierungsmodul pam_systemd_loadkey.so.

Wesentliche Änderungen in der neuen Version:

• Das Modul „systemd-storagetm“ wurde hinzugefügt, das es ermöglicht, alle lokalen Blockgeräte automatisch mit dem NVMe-TCP-Treiber zu exportieren, der den Zugriff auf NVMe-Speichergeräte über das Netzwerk (NVM Express over Fabrics) unter Verwendung des TCP-Protokolls ermöglicht. Die Bereitstellung des Zugriffs im NVMe over TCP-Modus erfolgt durch die neue Einheit „storage-target-mode.target“, die während des Bootvorgangs aktiviert werden kann, indem in der Kernel-Befehlszeile „rd.systemd.unit=storage-target-mode.target“ angegeben wird, beispielsweise für den remote Zugriff auf das Speichermedium zu Diagnosezwecken.
• Das Modul „systemd-bsod“ wurde hinzugefügt, das einen Äquivalent zum „blauen Bildschirm des Todes“ implementiert, um beim Booten kritische Fehlermeldungen (LOG_EMERG) in Form einer vollbildartigen Benachrichtigung anzuzeigen.
• Das Dienstprogramm „systemd-vmspawn“ wurde hinzugefügt, das eine Alternative zum Dienstprogramm systemd-nspawn zum Starten eines Betriebssystemimages in einer virtuellen Maschine darstellt (das Dienstprogramm systemd-nspawn ist zum Starten von Containern gedacht, während systemd-vmspawn eine ähnliche Schnittstelle bietet für virtuelle Maschinen). Derzeit steht nur der auf QEMU basierende Backend zum Starten virtueller Maschinen zur Verfügung.
• Das Dienstprogramm „varlinkctl“ wurde hinzugefügt, um Dienste, die das Varlink-Protokoll verwenden, aufzurufen und zu inspizieren.
• Das Werkzeug «systemd-pcrlock» wurde hinzugefügt, um die Zustände der TPM2 PCR (Platform Configuration Register) zu analysieren und vorherzusagen sowie Speicherregeln für den TPM2 NV-Index zu erstellen, die den Zugriff auf TPM2-Objekte wie Festplattenverschlüsselungsschlüssel nur von signierten Komponenten erlauben, die während des verifiziert geladenen Starts ausgeführt werden. Als Eingabedaten für die Analyse kann das Ergebnis der Abfrage des PCR-Zustands im TPM2 verwendet werden, das vom UEFI-Bootloader-Log der aktuellen Boot-Sitzung ausgegeben wird (/) oder das lokal gespeicherte TPM2-Log (/). Die Unterstützung für die gespeicherten Zugriffsregeln wurde in systemd-cryptsetup, systemd-cryptenroll und systemd-repart hinzugefügt.
• Das PAM-Modul pam_systemd_loadkey.so wurde hinzugefügt, das zum automatischen Abrufen des zur Entsperrung des verschlüsselten Root-Dateisystems in cryptsetup verwendeten Passwortsatzes aus dem Schlüsselbund des Kernels (keyring) dient und diesen Passwortsatz als Authentifizierungstoken (PAM authtok) festlegt. Das Modul kann beispielsweise zur Konfiguration der automatischen Entsperrung des Zugriffs auf GNOME Keyring und KDE Wallet beim automatischen Anmelden verwendet werden.
• Die Unterstützung für den Übergang in den Energiesparmodus (Hibernation) mit der Speicherung des Inhalts des Arbeitsspeichers in Swap-Dateien, die im Btrfs-Dateisystem gespeichert sind, wurde hinzugefügt.
• In die Einheiten wurden die Eigenschaften MemoryPeak, MemorySwapPeak, MemorySwapCurrent und MemoryZSwapCurrent hinzugefügt, die den über cgroup v2 verfügbaren Eigenschaften memory.peak, memory.swap.peak, memory.swap.current und memory.zswap.current entsprechen. Informationen zu diesen Eigenschaften sind im Ausgabefenster von «systemctl status» enthalten.
• Die Art und Weise, wie Dienste gestartet werden, wurde überarbeitet, und es wird der Aufruf posix_spawn mit den Optionen CLONE_VM und CLONE_VFORK verwendet, um einen Prozess zu starten. Ein separater ausführbarer Dienst namens systemd-executor wird verwendet, um den gestarteten Prozess zu konfigurieren. Zuvor wurden Prozesse mit der Funktion fork erstellt, wobei der Speicher des Hauptprozesses im Copy-on-Write-Modus kopiert wurde und die erforderlichen Einstellungen (Namensräume einhängen und CGroup festlegen) vor dem Start der ausführbaren Datei über den exec-Aufruf vorgenommen wurden, was zu Problemen führte, da auf einige Glibc-APIs während der Phase zwischen den Ausführungen der Funktionen fork und exec nicht zugegriffen werden konnte.
• Der Code zur Verfolgung interner Prozesse wurde auf die Verwendung von PIDFD anstelle von PID in Umgebungen mit einem Kernel, der PIDFD unterstützt, umgestellt (PIDFD wird mit einem bestimmten Prozess verknüpft und ändert sich nicht, während PID an einen anderen Prozess gebunden werden kann, nachdem der aktuelle Prozess, der mit diesem PID verbunden ist, beendet wurde). Es wurde die Möglichkeit zur Erstellung von Scope-Einheiten implementiert, die PIDFD anstelle von PID zur Prozessauswahl verwenden.
• Die Unterstützung separater Verzeichnis-Hierarchien wurde eingestellt (wenn /usr separater vom Root-Mount oder die Verzeichnisse /bin und /usr/bin, /lib und /usr/lib getrennt sind). Zukünftig wird auch die Unterstützung für cgroups v1, System V-Dienstskripte und EFI-Variablen in SystemdOptions eingestellt.
• Der Befehl „systemctl switch-root“ ist auf die Anwendung nur im initrd beschränkt. Um das Root-Dateisystem in einer normalen Umgebung zu ersetzen, sollte „systemctl soft-reboot“ verwendet werden.
• Die Parameter SuspendMode, HybridSleepMode, HibernateStat und HybridSleepState in der Sektion „[Sleep]“ der Datei systemd-sleep.conf wurden als veraltet erklärt. Diese Parameter werden nun ignoriert und können nur Standardwerte annehmen.
• Den Einheiten wurde die Option SurviveFinalKillSignal hinzugefügt, die es ermöglicht, das endgültige Signal SIGTERM/SIGKILL zu ignorieren, das während des Herunterfahrens gesendet wird, was nützlich sein kann, um die Einheit während eines sanften Neustarts des Systems im Soft-Reboot-Modus aktiv zu halten.
• Die Konfiguration NFTSet wurde hinzugefügt, um cgroup-Identifikatoren zur Änderung der Logik in Firewall-Regeln zu verwenden.
• Die Option ConditionSecurity=measured-uki wurde hinzugefügt, die sicherstellt, dass die Einheit nur in einem System gestartet werden kann, das mit einem verifizierten Kernel-Image im UKI-Format geladen wurde.
• Im systemd-boot wurden neue Hotkeys „B“ und „O“ zum Neustart und Herunterfahren des Systems aus dem Bootmenü hinzugefügt. Es wurde eine Einstellung „menu-disabled“ hinzugefügt, um die Anzeige des Bootmenüs zu deaktivieren.
• Das Tool systemd-repart bietet neue Optionen „—copy-from“ zum Abrufen von Partitionsbeschreibungen aus dem angegebenen Dateisystem-Image, „—copy-source“ zur Angabe des Basisverzeichnisses für den Parameter CopyFiles, „—make-ddi=confext“, „—make-ddi=sysext“ und „—make-ddi=portable“ zur Erstellung verschiedener Arten von DDI sowie „—tpm2-device-key“ zur Bindung der Festplatte an einen bestimmten öffentlichen TPM2-Schlüssel.
• Im Tool journalctl wurde der Parameter „—lines“ um den Wert „+N“ erweitert, um die ältesten N Einträge auszugeben.
• Im udevadm wurde das Flag „—json“ für die Ausgabe im JSON-Format hinzugefügt.
• In den Tools systemd-analyze, systemd-tmpfiles, systemd-sysusers, systemd-sysctl und systemd-binfmt wurde die Option „—tldr“ hinzugefügt, um nur die tatsächlichen Konfigurationsparameter ohne Leerzeichen und Kommentare auszugeben.
• Im seccomp-Subsystem wurde die Unterstützung für die Architektur LoongArch64 hinzugefügt. Die Verwendung von seccomp zur Filterung von Systemaufrufen in Diensten, die nicht unter dem Benutzer root ausgeführt werden, ist erlaubt, ohne die Einstellung NoNewPrivileges=yes zu aktivieren.
• In das Tool systemd-mount wurde die Option „—tmpfs“ zum Mounten einer neuen Instanz von ‘tmpfs’ hinzugefügt.

Quelle: opennet.ru