Veröffentlichung des Systemmanagers systemd 249

Nach drei Monaten Entwicklung wurde die Systemverwaltung systemd 249 veröffentlicht. In dieser Version ist es nun möglich, Benutzer/Gruppen im JSON-Format zu definieren, das Journal-Protokoll wurde stabilisiert, die Organisation des Bootens wechselnder Partitionen vereinfacht, die Möglichkeit zur Bindung von BPF-Programmen an Dienste hinzugefügt, die Zuordnung von Benutzer-IDs in gemounteten Partitionen implementiert und eine Vielzahl neuer Netzwerkparameter sowie Optionen zum Starten von Containern bereitgestellt.

Wesentliche Änderungen:

• Das Journal-Protokoll wurde dokumentiert, das in Clients anstelle des syslog-Protokolls für die lokale Lieferung von Log-Einträgen verwendet werden kann. Das Journal-Protokoll existiert bereits seit einiger Zeit und wird bereits in einigen Client-Bibliotheken verwendet, jedoch wird die offizielle Unterstützung erst jetzt bekannt gegeben.
• In userdb und nss-systemd wird die Lesemöglichkeit zusätzlicher Benutzerdaten, die in den Verzeichnissen /etc/userdb/, /run/userdb/, /run/host/userdb/ und /usr/lib/userdb/ im JSON-Format abgelegt sind, sichergestellt. Es sei darauf hingewiesen, dass diese Funktionalität einen zusätzlichen Mechanismus zur Erstellung von Benutzern im System bietet und dabei eine vollständige Integration mit NSS und /etc/shadow gewährleistet. Die Unterstützung des JSON-Formats für Benutzer-/Gruppen-Einträge ermöglicht es zudem, verschiedene Ressourcenkontrollparameter und andere Einstellungen, die von pam_systemd und systemd-logind erkannt werden, an die Benutzer anzuhängen.
• In nss-systemd wird die Synthese von Benutzer-/Gruppen-Daten in /etc/shadow unter Verwendung von gehashten Passwörtern aus systemd-homed sichergestellt.
• Ein Mechanismus wurde implementiert, der die Verwaltung von Updates durch den Einsatz von austauschbaren Partitionen vereinfacht (eine Partition aktiv, eine Backup-Partition — das Update wird auf die Backup-Partition kopiert, die dann aktiv wird). Wenn im Disk-Image zwei Root- oder /usr-Partitionen vorhanden sind und udev den Parameter 'root=' nicht bestimmt hat oder Disk-Images über die Option '—image' in den Tools systemd-nspawn und systemd-dissect verarbeitet werden, kann die Boot-Partition durch den Vergleich der GPT-Labels ermittelt werden (es wird vorausgesetzt, dass die Versionsnummer des Inhalts in dem GPT-Label erwähnt wird und systemd die Partition mit den aktuelleren Änderungen auswählt).
• In die Service-Dateien wurde die Einstellung BPFProgram aufgenommen, mit der das Laden von BPF-Programmen in den Kernel und deren Verwaltung mit Zuordnung zu bestimmten Systemd-Services ermöglicht wird.
• In systemd-fstab-generator und systemd-repart wurde die Möglichkeit zur Boot von Disks hinzugefügt, die nur eine /usr-Partition und keine Root-Partition enthalten (die Root-Partition wird von dem Utility systemd-repart beim ersten Boot generiert).
• In systemd-nspawn wurde die Option „—private-user-chown“ durch die vielseitigere Variante „—private-user-ownership“ ersetzt. Diese kann die Werte „chown“ als Äquivalent zu „—private-user-chown“, „off“ zum Deaktivieren der alten Einstellung, „map“ zum Mapping von Benutzeridentifikatoren in eingebundenen Dateisystemen und „auto“ zur Auswahl von „map“ bei vorhandener erforderlicher Funktionalität im Kernel (5.12+) oder einem Rückgriff auf den rekursiven "chown"-Aufruf im anderen Fall annehmen. Durch das Mapping können die Dateien eines Benutzers auf einem gemounteten, fremden Partition einem anderen Benutzer im aktuellen System zugeordnet werden, was die gemeinsame Nutzung von Dateien zwischen verschiedenen Benutzern erleichtert. Im Mechanismus der tragbaren Home-Verzeichnisse von systemd-homed ermöglicht das Mapping den Benutzern, ihre Home-Verzeichnisse auf externe Speicher zu verschieben und diese an verschiedenen Computern zu verwenden, deren Benutzeridentifikatoren nicht übereinstimmen.
• In systemd-nspawn kann bei der Option „—private-user“ jetzt der Wert „identity“ verwendet werden, um Benutzer-IDs direkt widerzuspiegeln, wenn ein Namensraum (user namespace) konfiguriert wird. Das bedeutet, dass UID 0 und UID 1 im Container als UID 0 und UID 1 auf der Host-Seite widergespiegelt werden. So werden Angriffsvektoren verringert (der Container erhält die Berechtigungen des Prozesses nur in seinem eigenen Namensraum).
• In systemd-nspawn wurde die Option „—bind-user“ hinzugefügt, um die Benutzerkonto im Container durch die im Host-Umfeld vorhandene Benutzerkonten weiterzuleiten. Dabei wird das Home-Verzeichnis in den Container eingebunden, ein Benutzer-/Gruppeneintrag hinzugefügt und eine UID-Zuordnung zwischen dem Container und dem Host-Umfeld durchgeführt.
• In systemd-ask-password und systemd-sysusers wurde die Unterstützung für die Abfrage von festgelegten Passwörtern (passwd.hashed-password. und passwd.plaintext-password.) hinzugefügt, mittels des in der Version systemd 247 eingeführten Mechanismus zur sicheren Übertragung vertraulicher Daten mithilfe von temporären Dateien in einem separaten Verzeichnis. Standardmäßig werden die Anmeldeinformationen von dem Prozess mit PID1 akzeptiert, der sie beispielsweise vom Container-Management-System erhält, was es ermöglicht, das Benutzerpasswort beim ersten Bootvorgang zu konfigurieren.
• In systemd-firstboot wurde die Unterstützung für die Nutzung des Mechanismus zur sicheren Übertragung vertraulicher Daten zur Abfrage verschiedener Systemparameter hinzugefügt. Dies kann verwendet werden, um die Systemeinstellungen bei der ersten Boot-Phase eines Container-Images zu initialisieren, in dem die erforderlichen Einstellungen im Verzeichnis /etc fehlen.
• Im Prozess PID 1 während des Bootvorgangs wird gleichzeitig der Name sowie die Beschreibung der Einheit angezeigt. Die Ausgabe kann über den Parameter „StatusUnitFormat=combined“ in system.conf oder die Kernel-Befehlszeilenoption „systemd.status-unit-format=combined“ geändert werden.
• In die Tools systemd-machine-id-setup und systemd-repart wurde die Option "—image" hinzugefügt, um eine Datei mit der Maschinen-ID in Disk-Images zu übergeben oder die Größe des Disk-Images zu vergrößern.
• In die Konfigurationsdatei für Partitionen, die von dem Tool systemd-repart verwendet wird, wurde der Parameter MakeDirectories aufgenommen, um beliebige Verzeichnisse im zu erstellenden Dateisystem vor dem Spiegeln in der Partitionstabelle zu erstellen (z. B. um im Root-Partition Verzeichnisse für Mount-Punkte einzurichten, damit die Partition sofort im Nur-Lese-Modus eingehängt werden kann). Zur Verwaltung von GPT-Flags in den erstellten Partitionen wurden die entsprechenden Parameter Flags, ReadOnly und NoAuto hinzugefügt. Der Parameter CopyBlocks unterstützt nun den Wert "auto", um automatisch die aktuelle Bootpartition als Quelle beim Kopieren von Blocks auszuwählen (z. B. wenn das eigene Root-Laufwerk auf ein neues Medium verschoben werden muss).
• In GPT wurde das Flag "grow-file-system" implementiert, das der Option zur Montage x-systemd.growfs entspricht und eine automatische Erweiterung der Dateisystemgröße bis zur Grenze des Blockgeräts ermöglicht, wenn die Dateisystemgröße kleiner als die Partition ist. Das Flag ist anwendbar auf die Dateisysteme Ext3, XFS und Btrfs und kann auf automatisch erkannten Partitionen verwendet werden. Standardmäßig ist das Flag für beschreibbare Partitionen, die durch systemd-repart automatisch erstellt werden, aktiviert. Für die Konfiguration des Flags wurde in systemd-repart die Option GrowFileSystem hinzugefügt.
• In der Datei /etc/os-release wurde die Unterstützung neuer Variablen IMAGE_VERSION und IMAGE_ID implementiert, um die Version und die Identifikation von atomar aktualisierbaren Images zu bestimmen. Für die Einfügung der angegebenen Werte in verschiedene Befehle wurden die Platzhalter %M und %A vorgeschlagen.
• Der Dienst portablectl wurde um den Parameter "—extension" erweitert, um tragbare Systemerweiterungs-Images zu aktivieren (z. B. können über diese Images mit zusätzlichen Diensten, die in die Root-Partition integriert sind, verbreitet werden).
• In der Anwendung systemd-coredump wird beim Erstellen des Core-Dumps des Prozesses die ELF-Information build-id extrahiert. Dies kann hilfreich sein, um zu bestimmen, zu welchem Paket der fehlerhafte Prozess gehört, sofern die Informationen über den Namen und die Version der deb- oder rpm-Pakete in die ELF-Dateien integriert wurden.
• In udev wurde eine neue Gerätedatenbank für FireWire (IEEE 1394)-Geräte hinzugefügt.
• In udev wurden drei Änderungen an dem Schema zur Auswahl von Netzwerkschnittstellennamen 'net_id' vorgenommen, die die Abwärtskompatibilität beeinträchtigen: Ungültige Zeichen in Schnittstellennamen werden jetzt durch '_' ersetzt; die Namen der PCI Hotplug-Slots für s390-Systeme werden in Form von Hexadezimalzahlen verarbeitet; die Verwendung von bis zu 65535 eingebetteten PCI-Geräten ist jetzt erlaubt (zuvor wurden Nummern über 16383 blockiert).
• In systemd-resolved wurde die Domain 'home.arpa' in die Liste der NTA (Negative Trust Anchors) aufgenommen, die für lokale Heimnetzwerke empfohlen wird, jedoch in DNSSEC nicht verwendet wird.
• Im Parameter CPUAffinity wurde die Analyse der Spezifizierer '%' ermöglicht.
• In die Dateien '.network' wurde der Parameter ManageForeignRoutingPolicyRules hinzugefügt, der verwendet werden kann, um die Verarbeitung externer Routing-Richtlinien in systemd-networkd auszuschließen.
• In den Dateien „.network“ wurde das Parameter RequiredFamilyForOnline hinzugefügt, um das Vorhandensein einer IPv4- oder IPv6-Adresse als Hinweis dafür zu nutzen, dass sich die Netzwerkschnittstelle im Zustand „online“ befindet. In networkctl wird der Zustand „online“ für jede Verbindung angezeigt.
• In den Dateien „.network“ wurde das Parameter OutgoingInterface hinzugefügt, um ausgehende Schnittstellen bei der Konfiguration von Netzbrücken zu bestimmen.
• In den Dateien „.network“ wurde das Parameter Group hinzugefügt, das die Konfiguration von Multipath-Gruppen für Einträge im Abschnitt „[NextHop]“ ermöglicht.
• In systemd-network-wait-online wurden die Optionen „-4“ und „-6“ hinzugefügt, um das Warten auf die Verbindung nur auf IPv4 oder IPv6 zu beschränken.
• In die DHCP-Servereinstellungen wurde das Parameter RelayTarget aufgenommen, das den Server in den DHCP Relay-Modus versetzt. Für eine zusätzliche Konfiguration des DHCP-Relays wurden die Optionen RelayAgentCircuitId und RelayAgentRemoteId angeboten.
• In den DHCP-Server wurde das Parameter ServerAddress hinzugefügt, das eine explizite Festlegung der IP-Adresse des Servers ermöglicht (ansonsten wird die Adresse automatisch ausgewählt).
• Im DHCP-Server wurde der Abschnitt [DHCPServerStaticLease] implementiert, der statische Adressbindungen (DHCP-Leases) ermöglicht, indem feste IPs an MAC-Adressen und umgekehrt zugeordnet werden.
• In der Konfiguration RestrictAddressFamilies wurde die Unterstützung des Wertes „none“ implementiert, bei dem dem Dienst keine Sockets von irgendeiner Adressfamilie zur Verfügung stehen.
• In den Dateien „.network“ in den Abschnitten [Address], [DHCPv6PrefixDelegation] und [IPv6Prefix] wurde die Unterstützung der Einstellung RouteMetric eingeführt, die es ermöglicht, eine Metrik für das für die angegebene Adresse erstellte Routenpräfix anzugeben.
• In nss-myhostname und systemd-resolved wird die Synthese von DNS-Einträgen mit Adressen für Hosts mit dem speziellen Namen „_outbound“ bereitgestellt, für die immer eine lokale IP zurückgegeben wird, die in Übereinstimmung mit den Standardrouten gewählt wurde, die für ausgehende Verbindungen verwendet werden.
• In die .network-Dateien wurde im Abschnitt „[DHCPv4]“ eine standardmäßig aktivierte Einstellung RoutesToNTP hinzugefügt, die vorschreibt, dass eine separate Route über das aktuelle Netzwerkinterface zum NTP-Serveradresse hinzugefügt wird, die für dieses Interface über DHCP erhalten wurde (entsprechend der DNS-Konfiguration gewährleistet dies, dass der Verkehr zum NTP-Server über das Interface geleitet wird, über das diese Adresse erhalten wurde).
• Es wurden die Einstellungen SocketBindAllow und SocketBindDeny hinzugefügt, um den Zugriff auf Sockets zu steuern, die an den aktuellen Dienst gebunden sind.
• Für Unit-Dateien wurde die optionale Einstellung ConditionFirmware implementiert, die es ermöglicht, Prüfungen durchzuführen, die Funktionen der Firmware bewerten, wie die Funktionalität auf UEFI-Systemen und device.tree, sowie die Kompatibilität mit bestimmten device-tree-Funktionen überprüfen.
• Die Option ConditionOSRelease wurde implementiert, um die Felder in der Datei /etc/os-release zu überprüfen. Bei der Bestimmung von Prüfbedingungen für die Werte der Felder sind die Operatoren „=“, „!=“, „<“, „=“, „>“ zulässig.
• Im Dienstprogramm hostnamectl wurden die Kommandos der Form „get-xyz“ und „set-xyz“ von den Präfixen „get“ und „set“ befreit, zum Beispiel kann statt „hostnamectl get-hostname“ und „hostnamectl set-hostname“ der Befehl „hostnamectl hostname“ verwendet werden, wobei die Zuweisung des Wertes durch Angabe eines zusätzlichen Arguments erfolgt („hostnamectl hostname value“). Unterstützung für ältere Befehle bleibt zur Gewährleistung der Kompatibilität erhalten.
• Im Dienstprogramm systemd-detect-virt und der Einstellung ConditionVirtualization wird eine korrekte Identifizierung von Amazon EC2-Umgebungen sichergestellt.
• Die Einstellung LogLevelMax in Unit-Dateien wird jetzt nicht nur auf die vom Dienst erstellten Log-Nachrichten angewendet, sondern auch auf Nachrichten des Prozesses PID 1, in denen der Dienst erwähnt wird.
• Die Möglichkeit zur Einbindung von SBAT-Daten (UEFI Secure Boot Advanced Targeting) in die systemd-boot EFI PE-Dateien wurde bereitgestellt.
• In /etc/crypttab wurden neue Optionen "headless" und "password-echo" implementiert – die erste ermöglicht es, alle interaktiven Passwort- und PIN-Anfragen an den Benutzer zu überspringen, während die zweite es erlaubt, die Methode zur Anzeige der Passwort-Eingabe einzustellen (nichts anzeigen, zeichenweise anzeigen oder Sterne anzeigen). Bei systemd-ask-password wurde ebenfalls die Option "—echo" hinzugefügt.
• In systemd-cryptenroll, systemd-cryptsetup und systemd-homed wurde die Unterstützung für das Entsperren von verschlüsselten LUKS2-Partitionen mit FIDO2-Token erweitert. Neue Optionen wie "—fido2-with-user-presence", "—fido2-with-user-verification" und "—fido2-with-client-pin" wurden hinzugefügt, um die Überprüfung der physischen Anwesenheit des Benutzers, die Verifizierung und die Eingabe eines PIN-Codes zu steuern.
• In systemd-journal-gatewayd wurden die Optionen "—user", "—system", "—merge" und "—file" hinzugefügt, die den entsprechenden Optionen von journalctl ähneln.
• Zusätzlich zu den direkten Abhängigkeiten zwischen Einheiten, die durch die Parameter OnFailure und Slice definiert werden, wurde die Unterstützung für implizite Rückabhängigkeiten OnFailureOf und SliceOf hinzugefügt, die beispielsweise nützlich sein können, um alle Einheiten innerhalb eines Slice zu bestimmen.
• Neue Abhängigkeitstypen zwischen Einheiten hinzugefügt: OnSuccess und OnSuccessOf (das Gegenteil von OnFailure, das bei erfolgreichem Abschluss aufgerufen wird); PropagatesStopTo und StopPropagatedFrom (ermöglichen die Übertragung des Stoppereignisses von einer Einheit auf eine andere); Upholds und UpheldBy (eine Alternative zu Restart).
• Das Systemd-Ask-Password-Tool hat die Option "—emoji" zur Steuerung der Anzeige des Schlosssymbols (🔐) im Passwort-Eingabefeld erhalten.
• Dokumentation zur Struktur des Quelltextbaums von systemd hinzugefügt.
• Für Einheiten wurde die Eigenschaft MemoryAvailable hinzugefügt, die anzeigt, wie viel Speicher der Einheit zur Verfügung steht, bevor das über die Parameter MemoryMax, MemoryHigh oder MemoryAvailable festgelegte Limit erreicht wird.

Quelle: opennet.ru