Veröffentlichung des Systemmanagers systemd 257

Nach einem halben Jahr Entwicklung wurde die Version des Systemmanagers systemd 257 veröffentlicht. Zu den wichtigsten Änderungen gehören: neue Tools systemd-sbsign und systemd-keyutil, Unterstützung von MPTCP bei der Aktivierung über Sockets, anfängliche Unterstützung für den Aufbau mit der C-Bibliothek Musl, das Tool updatectl zur Verwaltung der Installation von Updates über systemd-sysupdate, die Möglichkeit, Dienste in separaten PID-Namensräumen zu starten, und der Schutz vor versehentlichem Löschen von Dateien bei Verwendung von „systemd-tmpfiles —purge“.

Zu den Änderungen in der neuen Version gehören:

• Ein neues Tool systemd-sbsign wurde hinzugefügt, um ausführbare Dateien im PE (Portable Executable)-Format digital zu signieren, die für die Verwendung im EFI Secure Boot-Modus vorgesehen sind. Zum Erstellen der Signatur können Engines und Anbieter verwendet werden, die von der OpenSSL-Bibliothek bereitgestellt werden. Systemd-sbsign kann als Alternative zu den Anwendungen sbsigntool und pesign im Tool ukify verwendet werden, um universelle Kernel-Images (UKI, Unified Kernel Image) zu erstellen, die in einer Datei einen UEFI-Bootloader (UEFI boot stub), das Linux-Kernel-Image und die im Speicher geladenen Systemumgebung initrd kombinieren.
• Ein neues Tool systemd-keyutil wurde hinzugefügt, das verschiedene Operationen mit privaten Schlüsseln und X.509-Zertifikaten durchführt. Zum Beispiel kann systemd-keyutil verwendet werden, um die Möglichkeit der Verwendung privater Schlüssel und Zertifikate zu überprüfen sowie öffentliche Schlüssel im PEM-Format aus ihnen zu extrahieren.
• In den Units „.socket“, die für die Aktivierung von Sockets zur Anlaufmechanik verwendet werden (Prozesse bei dem Versuch zu starten, eine Netzwerkverbindung herzustellen), wurde die Unterstützung von MPTCP (Multipath TCP) implementiert, einer Erweiterung des TCP-Protokolls zur Realisierung von TCP-Verbindungen, bei denen Pakete gleichzeitig über mehrere Routen über unterschiedliche Netzwerkinterfaces, die an verschiedene, verbunden werden. IP-Adressen.
• Änderungen wurden implementiert, die notwendig sind, um mit der standardmäßigen C-Bibliothek Musl zu bauen.
• In verschiedenen Komponenten von systemd, die Fortschrittsanzeigen während der Durchführung von Operationen ausgeben (z. B. systemd-repart, systemd-sysupdate/updatectl und importctl), wurde die Möglichkeit hinzugefügt, ANSI-Sequenzen zu verwenden, um die Fortschrittsanzeige zu animieren. Solche Sequenzen werden derzeit nur im Windows Terminal unterstützt (es wird angenommen, dass diese Möglichkeit im Laufe der Zeit auch in Linux-Terminalemulatoren übertragen wird).
• Die Möglichkeiten der Komponente systemd-sysupdate, die zur automatischen Erkennung, dem Herunterladen und der Installation von Updates unter Verwendung eines atomaren Mechanismus für den Austausch von Partitionen, Dateien oder Verzeichnissen eingesetzt wird, wurden erweitert (es werden zwei unabhängige Partitionen/Dateien/Verzeichnisse verwendet, von denen sich eine mit den aktuellen Arbeitsressourcen und die andere mit dem nächsten Update befindet, wonach die Partitionen/Dateien/Verzeichnisse getauscht werden). In der Praxis wird systemd-sysupdate bereits in GNOME OS eingesetzt.

  Zusätzlich zum Prozess systemd-sysupdate wurde ein gleichnamiger Dienst hinzugefügt, der es ermöglicht, D-Bus zur Verwaltung von Systemupdates durch unprivilegierte Benutzer zu nutzen. Zur Verwaltung des Dienstes wurde außerdem ein neues Tool updatectl integriert. In systemd-sysupdate wurde das Flag „—offline“ hinzugefügt, um das Herunterladen von Metadaten über das Netzwerk zu verbieten und nur bereits auf das lokale System heruntergeladene Versionen zu verwenden. Für alle Befehle wurde die Unterstützung für die Ausgabe im JSON-Format hinzugefügt.
• Für Dienste wurde eine neue Eigenschaft „PrivatePIDs“ implementiert, mit der der Start von Prozessen mit PID 1 (Init-Prozess) in einem separaten Prozess-ID-Namespace organisiert werden kann. In der für den gestarteten Prozess erstellten Umgebung sind nur die Prozesse sichtbar, die aus dem dafür geschaffenen Namensraum stammen.
• Die udev-Regeln wurden um die Unterstützung für Groß- und Kleinschreibung ignorierende Zuordnungen (z. B. ‚ATTR{foo}==i„abcd“‘) erweitert. Über udev wird unprivilegierten lokalen Benutzern der Zugriff („uaccess“) auf das Gerät /dev/udmabuf gewährt, das für die Arbeit mit IPMI-Kameras über libcamera erforderlich ist. In udev wird die Erkennung verschiedener Hardware-Kryptogeldbörsen mit USB-Schnittstelle ermöglicht und die Eigenschaft ID_HARDWARE_WALLET für diese festgelegt, was eine Anwendung des Modus „uaccess“ für den Zugang unprivilegierter Benutzer erlaubt.
• In die Datei /etc/os-release wurden neue Felder RELEASE_TYPE, EXPERIMENT und EXPERIMENT_URL aufgenommen. „RELEASE_TYPE“ kann die Werte „experimental“, „development“, „stable“ und „lts“ annehmen, um stabile Versionen von sich in der Entwicklung befindenden und experimentellen Builds zu unterscheiden. Die Parameter EXPERIMENT und EXPERIMENT_URL sind zur Erläuterung der Natur des experimentellen Builds gedacht.
• In das Utility run0, das als Ersatz für das Programm sudo entwickelt wurde, wurde die Option „—shell-prompt-prefix“ hinzugefügt, die die Prefix-Zeile der Befehlszeilenaufforderung definiert. Standardmäßig wird als Prefix das Emoji „🦸“ ausgegeben, um die Sitzung mit erhöhten Rechten visuell hervorzuheben.
• In systemd-tmpfiles wird, um versehentliche Löschungen falscher Dateien zu vermeiden, die Option „—purge“ jetzt nur auf Einstellungen in tmpfiles.d/ angewendet, für die das Flag „$“ ausdrücklich gesetzt ist. Für die Durchführung der „—purge“-Operation ist nun ebenfalls die Angabe von mindestens einer Datei aus dem Verzeichnis tmpfiles.d/ erforderlich. Für Zeilen des Typs 'L' wurde das Flag '?' hinzugefügt, bei dessen Angabe die symbolische Verknüpfung nur erstellt wird, wenn die Ziel-Datei vorhanden ist.
• Im Dienstmanager und den zugehörigen Utilities wurde die Umstellung des Codes zur Prozessverfolgung auf die Verwendung von PIDFD anstelle von PID fortgesetzt. Der PIDFD-Identifikator ist an einen bestimmten Prozess gebunden und ändert sich nicht, während der PID an einen anderen Prozess gebunden werden kann, nachdem der aktuelle Prozess, der mit diesem PID assoziiert ist, abgeschlossen ist.
• Für Dienste wurde die Möglichkeit eingeführt, im Parameter „RestartMode“ den Wert „debug“ anzugeben, bei dem der Neustart eines fehlgeschlagenen Dienstes im Debug-Modus durchgeführt wird (die Umgebungsvariable DEBUG_INVOCATION=1 wird gesetzt), und der Wert von LogLevelMax vorübergehend auf das Debug-Niveau erhöht wird.
• Im PID-Handler 1 wurde die Möglichkeit implementiert, Regeln für das LSM-Modul IPE (Integrity Policy Enforcement) zu laden, die die Integritätsrichtlinie für das gesamte System definieren (welche Operationen zulässig sind und auf welche Weise die Authentizität von Komponenten verifiziert werden soll).
• In die Unit-Dateien „.timer“ wurde die Option „DeferReactivation“ eingefügt, die es ermöglicht, eine anstehende Aktivierung durch den Timer zu überspringen, wenn der Dienst seit der letzten Aktivierung noch nicht abgeschlossen ist.
• Im Parameter der Unit-Dateien PrivateUsers wurde die Möglichkeit eingeführt, den Wert „identity“ anzugeben, um das Mappen von Benutzer-IDs bei der Erstellung eines Namensraums (user namespace) zu aktivieren.
• Im Parameter der Unit-Dateien PrivateTmp wurde die Unterstützung für den Wert „disconnected“ hinzugefügt, bei dem für die Verzeichnisse /tmp/ und /var/tmp/ separate Instanzen von tmpfs verwendet werden.
• Im Parameter unit-Files ProtectControlGroups wurde die Unterstützung für die neuen Modi „private“ und „strict“ hinzugefügt, wobei für den Dienst ein neuer cgroup-Namespace erstellt und cgroupfs eingebunden wird. Bei der Einstellung der Option „strict“ erfolgt das Einbinden von cgroupfs im Nur-Lese-Modus.
• In den Parametern StateDirectory, RuntimeDirectory, CacheDirectory, LogsDirectory und ConfigurationDirectory wurde die Möglichkeit hinzugefügt, das Flag ‘:ro’ zu verwenden, um den Zugriff auf die entsprechenden Verzeichnisse im Nur-Lese-Modus einzuschränken.
• Im Kernel-Befehlszeilenparameter „systemd.machine_id“ wurde die Unterstützung für den Wert „firmware“ hinzugefügt, bei dem die System-ID (machine ID) auf der Basis der UUID aus SMBIOS/DeviceTree berechnet wird.
• Die Unterstützung für die Systemaufrufe mseal(), listmount() und statmount() wurde hinzugefügt, die in den letzten Versionen des Linux-Kernels erschienen sind.
• In den Dienstprogrammen resolvectl, timedatectl und systemd-inhibit wurde die Unterstützung für die interaktive Authentifizierung über Polkit hinzugefügt.
• Im Dienstprogramm systemctl wurde die Möglichkeit hinzugefügt, das Flag „—now“ im Befehl „reenable“ zu verwenden.
• Im Dienstprogramm systemd-mount wurde die Option „—json“ für die Ausgabe im JSON-Format hinzugefügt (z. B. wird bei Angabe zusammen mit „—list-devices“ die Liste der Geräte im JSON-Format ausgegeben).
• Im Dienstprogramm „localectl“ wurden die Optionen „-l“ und „—full“ hinzugefügt, um das Trimmen langer Zeilen bei der Ausgabe zu deaktivieren.
• In sleep.conf wurde die Option HibernateOnACPower hinzugefügt, die es ermöglicht, den Wechsel in den Ruhezustand auf die Trennung des Geräts von der stationären Stromquelle zu verschieben.
• In systemd-sysusers wurde den Zeilen „u“ die Unterstützung für den Modifikator „!“ hinzugefügt, mit dem vollständig gesperrte Benutzerkonten erstellt werden können (früher wurde zur Sperrung eines Benutzers ein ungültiges Passwort verwendet, was zum Beispiel nicht zur Sperrung bei der Authentifizierung per SSH-Schlüsseln führte).
• In systemd-coredump wurde die Option „EnterNamespace“ hinzugefügt, die den Zugriff auf den Mount-Namespace beliebiger abgestürzter Prozesse zur Erfassung ihrer Debug-Symbole ermöglicht. In der Praxis kann die Option nützlich sein, um einen Backtrace von Core-Dateien von in isolierten Containern betriebenen Anwendungen zu erstellen.
• In systemd-logind wurde die Verarbeitung der Kombination Ctrl-Alt-Shift-Esc aktiviert, um den Komponenten der Benutzerumgebung das Signal org.freedesktop.login1.SecureAttentionKey zu senden, mit der Anfrage, einen Dialog für eine sichere Anmeldung anzuzeigen. Es wurde die Einstellung „DesignatedMaintenanceTime“ implementiert, um das automatisierte Planen der Abschaltung zu einem festgelegten Zeitpunkt zu ermöglichen. Analog zur Unterstützung von DRM-Geräten und evdev wurde die Unterstützung für die Konfiguration des Zugriffs nicht privilegierter Benutzer auf hidraw-Geräte (Spielcontroller und Joysticks) hinzugefügt.
• In systemd-machined wurde die Unterstützung für die Registrierung durch nicht privilegierte Clients hinzugefügt. virtuelle Maschinen und Container. Der Zugriff auf die Funktionalität von systemd-machined erfolgt über die Varlink-API, neben D-Bus.
• In die Konfigurationsdatei networkd.conf wurde ein neuer Abschnitt „[IPv6AddressLabel]“ hinzugefügt, um Labels und Präfixe für IPv6-Adressen zu konfigurieren.
• Der Befehl ‚networkctl edit‘ erhielt die Option „—stdin“, um den Inhalt einer Datei aus dem Standardstrom zu erhalten. In die Befehle ‚networkctl edit‘ und ‚networkctl cat‘ wurde die Unterstützung für die Bearbeitung und Anzeige von .netdev-Dateien durch Angabe des Netzwerkinterfaces hinzugefügt. Es wurde die Option „—no-ask-password“ hinzugefügt, um die interaktive Authentifizierung zu deaktivieren.
• In die Dienstprogramme ukify, bootctl, systemd-keyutil, systemd-measure, systemd-repart und systemd-sbsign wurde die Option „—certificate-source“ hinzugefügt, um ein X.509-Zertifikat über den OpenSSL-Anbieter zu laden, anstelle es direkt aus einer Datei zu laden.
• In systemd-boot wurde die Möglichkeit hinzugefügt, die Lautstärketasten zu verwenden, um im Bootmenü nach oben und unten zu navigieren, was auf Geräten wie Smartphones nützlich sein kann. Im Dienstprogramm bootctl wurde die Unterstützung für die Installation einer UEFI Secure Boot-Datenbank im ESL(db/dbx/…) Format für systemd-boot hinzugefügt.
• In journalctl wurde die Option „—list-invocation“ hinzugefügt, um eine Liste der Unit-Aufrufe anzuzeigen, sowie die Option „—invocation“ („-I“), um Protokolle anzuzeigen, die nur mit einem bestimmten Aufruf verbunden sind.
• In systemd-nspawn wurde die Unterstützung für die unprivilegierte Nutzung von FUSE (Filesystem in Userspace) in Containern hinzugefügt. Bei Verwendung der Option „—bind-user“ wird das Durchreichen von SSH-Schlüsseln des Benutzers in den Container gewährleistet, die für den SSH-Zugriff erforderlich sind.
• In libsystemd wurde eine neue Programmierschnittstelle „sd-json“ eingeführt, die das JSON-Format verwendet, sowie die Schnittstelle „sd-varlink“, die IPC Varlink nutzt.
• Die empfohlene Basisversion des Kernels wurde auf die Version 5.4, die 2019 veröffentlicht wurde, angehoben. Im nächsten Jahr plant man, die Unterstützung für ältere Kernel einzustellen und die Version 5.4 als minimal unterstützte Basisversion zu kennzeichnen.
• Die Unterstützung von cgroups v1 wird als veraltet angesehen und ist standardmäßig deaktiviert (um sie in der Kernel-Befehlszeile zu aktivieren, muss SYSTEMD_CGROUP_ENABLE_LEGACY_FORCE=1 angegeben werden, zusätzlich zur Aktivierung in den systemd-Einstellungen). In der nächsten Version von systemd 258 wird geplant, den Code, der mit cgroups v1 verbunden ist, vollständig zu entfernen. In version systemd 258 ist auch die Entfernung der Unterstützung für System V-Dienstskripte vorgesehen.

Quelle: opennet.ru